# Den Europæiske Unions L 119/2016

| | ISSN 1977-0634 |
| --- | --- |
| Den Europæiske Unions
  Tidende | L 119 |
| | |
| Dansk udgave | Retsforskrifter | 59. årgang4. maj 2016 |

ISSN 1977-0634

Den Europæiske Unions

Tidende

L 119

Dansk udgave

Retsforskrifter

59. årgang4. maj 2016

---

| Indhold | | I   Lovgivningsmæssige retsakter | Side |
| --- | --- | --- | --- |
| | | FORORDNINGER |
| | * | Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
  1
  ) | 1 |
| | | DIREKTIVER |
| | * | Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA | 89 |
| | * | Europa-Parlamentets og Rådets direktiv (EU) 2016/681 af 27. april 2016 om anvendelse af passagerlisteoplysninger (PNR-oplysninger) til at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet | 132 |

Indhold

I   Lovgivningsmæssige retsakter

Side

FORORDNINGER

*

Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
  1
  )

1

1

DIREKTIVER

*

Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA

89

*

Europa-Parlamentets og Rådets direktiv (EU) 2016/681 af 27. april 2016 om anvendelse af passagerlisteoplysninger (PNR-oplysninger) til at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet

132

| | |
| --- | --- |
| | (1)   EØS-relevant tekst |

---

(1)   EØS-relevant tekst

1

| DA | De akter, hvis titel er trykt med magre typer, er løbende retsakter inden for rammerne af landbrugspolitikken og har normalt en begrænset gyldighedsperiode.
  Titlen på alle øvrige akter er trykt med fede typer efter en asterisk. |
| --- | --- |

DA

De akter, hvis titel er trykt med magre typer, er løbende retsakter inden for rammerne af landbrugspolitikken og har normalt en begrænset gyldighedsperiode.

Titlen på alle øvrige akter er trykt med fede typer efter en asterisk.

---

I Lovgivningsmæssige retsakter

FORORDNINGER

| 4.5.2016 | DA | Den Europæiske Unions Tidende | L 119/1 |
| --- | --- | --- | --- |

4.5.2016

DA

Den Europæiske Unions Tidende

L 119/1

---

EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2016/679

af 27. april 2016

om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)

(EØS-relevant tekst)

EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 16,

under henvisning til forslag fra Europa-Kommissionen,

efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,

under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg (1),

under henvisning til udtalelse fra Regionsudvalget (2),

efter den almindelige lovgivningsprocedure (3), og

ud fra følgende betragtninger:

| (1) | Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger er en grundlæggende rettighed. I artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder (»chartret«) og i artikel 16, stk. 1, i traktaten om Den Europæiske Unions funktionsmåde (TEUF) fastsættes det, at enhver har ret til beskyttelse af personoplysninger, der vedrører den pågældende. |
| --- | --- |

(1)

Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger er en grundlæggende rettighed. I artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder (»chartret«) og i artikel 16, stk. 1, i traktaten om Den Europæiske Unions funktionsmåde (TEUF) fastsættes det, at enhver har ret til beskyttelse af personoplysninger, der vedrører den pågældende.

| (2) | Principperne og reglerne for beskyttelse af fysiske personer i forbindelse med behandling af deres personoplysninger bør, uanset deres nationalitet eller bopæl, respektere deres grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger. Denne forordning har til formål at bidrage til skabelsen af et område med frihed, sikkerhed og retfærdighed samt en økonomisk union og til økonomiske og sociale fremskridt, styrkelse af og konvergens mellem økonomierne inden for det indre marked og fysiske personers velfærd. |
| --- | --- |

(2)

Principperne og reglerne for beskyttelse af fysiske personer i forbindelse med behandling af deres personoplysninger bør, uanset deres nationalitet eller bopæl, respektere deres grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger. Denne forordning har til formål at bidrage til skabelsen af et område med frihed, sikkerhed og retfærdighed samt en økonomisk union og til økonomiske og sociale fremskridt, styrkelse af og konvergens mellem økonomierne inden for det indre marked og fysiske personers velfærd.

| (3) | Europa-Parlamentets og Rådets direktiv 95/46/EF (4) har til formål at harmonisere beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandlingsaktiviteter og at sikre den frie udveksling af personoplysninger mellem medlemsstaterne. |
| --- | --- |

(3)

Europa-Parlamentets og Rådets direktiv 95/46/EF (4) har til formål at harmonisere beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandlingsaktiviteter og at sikre den frie udveksling af personoplysninger mellem medlemsstaterne.

| (4) | Behandling af personoplysninger bør have til formål at tjene menneskeheden. Retten til beskyttelse af personoplysninger er ikke en absolut ret; den skal ses i sammenhæng med sin funktion i samfundet og afvejes i forhold til andre grundlæggende rettigheder i overensstemmelse med proportionalitetsprincippet. Denne forordning overholder alle de grundlæggende rettigheder og følger de frihedsrettigheder og principper, der anerkendes i chartret som forankret i traktaterne, navnlig respekten for privatliv og familieliv, hjem og kommunikation, beskyttelsen af personoplysninger, retten til at tænke frit, til samvittigheds- og religionsfrihed, ytrings- og informationsfrihed, frihed til at oprette og drive egen virksomhed, adgang til effektive retsmidler og til en retfærdig rettergang og kulturel, religiøs og sproglig mangfoldighed. |
| --- | --- |

(4)

Behandling af personoplysninger bør have til formål at tjene menneskeheden. Retten til beskyttelse af personoplysninger er ikke en absolut ret; den skal ses i sammenhæng med sin funktion i samfundet og afvejes i forhold til andre grundlæggende rettigheder i overensstemmelse med proportionalitetsprincippet. Denne forordning overholder alle de grundlæggende rettigheder og følger de frihedsrettigheder og principper, der anerkendes i chartret som forankret i traktaterne, navnlig respekten for privatliv og familieliv, hjem og kommunikation, beskyttelsen af personoplysninger, retten til at tænke frit, til samvittigheds- og religionsfrihed, ytrings- og informationsfrihed, frihed til at oprette og drive egen virksomhed, adgang til effektive retsmidler og til en retfærdig rettergang og kulturel, religiøs og sproglig mangfoldighed.

| (5) | Den økonomiske og sociale integration, der er en følge af det indre markeds funktion, har medført en kraftig vækst i bevægelserne af personoplysninger på tværs af landegrænserne. Udvekslingen af personoplysninger mellem offentlige og private aktører, herunder fysiske personer, sammenslutninger og virksomheder, i Unionen er steget. De nationale myndigheder i medlemsstaterne opfordres i EU-retten til at samarbejde og udveksle personoplysninger for at kunne varetage deres hverv og udføre opgaver på vegne af en myndighed i en anden medlemsstat. |
| --- | --- |

(5)

Den økonomiske og sociale integration, der er en følge af det indre markeds funktion, har medført en kraftig vækst i bevægelserne af personoplysninger på tværs af landegrænserne. Udvekslingen af personoplysninger mellem offentlige og private aktører, herunder fysiske personer, sammenslutninger og virksomheder, i Unionen er steget. De nationale myndigheder i medlemsstaterne opfordres i EU-retten til at samarbejde og udveksle personoplysninger for at kunne varetage deres hverv og udføre opgaver på vegne af en myndighed i en anden medlemsstat.

| (6) | Den hastige teknologiske udvikling og globaliseringen har skabt nye udfordringer, hvad angår beskyttelsen af personoplysninger. Omfanget af indsamlingen og delingen af personoplysninger er steget betydeligt. Teknologien giver både private selskaber og offentlige myndigheder mulighed for at udnytte personoplysninger i et hidtil uset omfang, når de udøver deres aktiviteter. Fysiske personer udbreder i stigende grad deres personoplysninger offentligt og globalt. Teknologien har ændret både økonomien og sociale aktiviteter og bør yderligere fremme den frie udveksling af personoplysninger inden for Unionen og overførslen af oplysninger til tredjelande og internationale organisationer, samtidig med at der sikres et højt niveau for beskyttelse af personoplysninger. |
| --- | --- |

(6)

Den hastige teknologiske udvikling og globaliseringen har skabt nye udfordringer, hvad angår beskyttelsen af personoplysninger. Omfanget af indsamlingen og delingen af personoplysninger er steget betydeligt. Teknologien giver både private selskaber og offentlige myndigheder mulighed for at udnytte personoplysninger i et hidtil uset omfang, når de udøver deres aktiviteter. Fysiske personer udbreder i stigende grad deres personoplysninger offentligt og globalt. Teknologien har ændret både økonomien og sociale aktiviteter og bør yderligere fremme den frie udveksling af personoplysninger inden for Unionen og overførslen af oplysninger til tredjelande og internationale organisationer, samtidig med at der sikres et højt niveau for beskyttelse af personoplysninger.

| (7) | Denne udvikling kræver en stærk og mere sammenhængende databeskyttelsesramme i Unionen, som understøttes af effektiv håndhævelse, fordi det er vigtigt at skabe den tillid, der gør det muligt, at den digitale økonomi kan udvikle sig på det indre marked. Fysiske personer bør have kontrol over deres personoplysninger. Sikkerheden både retligt og praktisk bør styrkes for fysiske personer, erhvervsdrivende og offentlige myndigheder. |
| --- | --- |

(7)

Denne udvikling kræver en stærk og mere sammenhængende databeskyttelsesramme i Unionen, som understøttes af effektiv håndhævelse, fordi det er vigtigt at skabe den tillid, der gør det muligt, at den digitale økonomi kan udvikle sig på det indre marked. Fysiske personer bør have kontrol over deres personoplysninger. Sikkerheden både retligt og praktisk bør styrkes for fysiske personer, erhvervsdrivende og offentlige myndigheder.

| (8) | Når denne forordning fastsætter, at der kan indføres specifikationer eller begrænsninger af dens regler ved medlemsstaternes nationale ret, kan medlemsstaterne, i det omfang det er nødvendigt af hensyn til sammenhængen og for at gøre de nationale bestemmelser forståelige for de personer, som de finder anvendelse på, indarbejde elementer af denne forordning i deres nationale ret. |
| --- | --- |

(8)

Når denne forordning fastsætter, at der kan indføres specifikationer eller begrænsninger af dens regler ved medlemsstaternes nationale ret, kan medlemsstaterne, i det omfang det er nødvendigt af hensyn til sammenhængen og for at gøre de nationale bestemmelser forståelige for de personer, som de finder anvendelse på, indarbejde elementer af denne forordning i deres nationale ret.

| (9) | Målsætningerne og principperne i direktiv 95/46/EF er stadig gyldige, men direktivet har ikke forhindret en fragmentering af gennemførelsen af databeskyttelse i Unionen, manglende retssikkerhed eller en udbredt offentlig opfattelse af, at der er betydelige risici for beskyttelsen af fysiske personer, navnlig i forbindelse med onlineaktivitet. Forskelle i niveauet for beskyttelsen af fysiske personers rettigheder og frihedsrettigheder, navnlig retten til beskyttelse af personoplysninger, i forbindelse med behandling af personoplysninger i medlemsstaterne, kan forhindre fri udveksling af personoplysninger i Unionen. Disse forskelle kan derfor udgøre en hindring for udøvelsen af en række økonomiske aktiviteter på EU-plan, virke konkurrenceforvridende og hindre myndighederne i at varetage de opgaver, de er pålagt i medfør af EU-retten. En sådan forskel i beskyttelsesniveauet skyldes forskelle i gennemførelsen og anvendelsen af direktiv 95/46/EF. |
| --- | --- |

(9)

Målsætningerne og principperne i direktiv 95/46/EF er stadig gyldige, men direktivet har ikke forhindret en fragmentering af gennemførelsen af databeskyttelse i Unionen, manglende retssikkerhed eller en udbredt offentlig opfattelse af, at der er betydelige risici for beskyttelsen af fysiske personer, navnlig i forbindelse med onlineaktivitet. Forskelle i niveauet for beskyttelsen af fysiske personers rettigheder og frihedsrettigheder, navnlig retten til beskyttelse af personoplysninger, i forbindelse med behandling af personoplysninger i medlemsstaterne, kan forhindre fri udveksling af personoplysninger i Unionen. Disse forskelle kan derfor udgøre en hindring for udøvelsen af en række økonomiske aktiviteter på EU-plan, virke konkurrenceforvridende og hindre myndighederne i at varetage de opgaver, de er pålagt i medfør af EU-retten. En sådan forskel i beskyttelsesniveauet skyldes forskelle i gennemførelsen og anvendelsen af direktiv 95/46/EF.

| (10) | For at sikre et ensartet og højt niveau for beskyttelse af fysiske personer og for at fjerne hindringerne for udveksling af personoplysninger inden for Unionen bør beskyttelsesniveauet for fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af sådanne oplysninger være ensartet i alle medlemsstater. Det bør sikres, at reglerne for beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger anvendes konsekvent og ensartet overalt i Unionen. I forbindelse med behandling af personoplysninger for at overholde en retlig forpligtelse eller for at udføre en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt, bør medlemsstaterne kunne opretholde eller indføre nationale bestemmelser for yderligere at præcisere anvendelsen af denne forordnings bestemmelser. Sammen med generel og horisontal lovgivning om databeskyttelse til gennemførelse af direktiv 95/46/EF har medlemsstaterne flere sektorspecifikke love på områder, hvor der er behov for mere specifikke bestemmelser. Denne forordning indeholder også en manøvremargen, så medlemsstaterne kan præcisere reglerne heri, herunder for behandling af særlige kategorier af personoplysninger (»følsomme oplysninger«). Denne forordning udelukker således ikke, at medlemsstaternes nationale ret fastlægger omstændighederne i forbindelse med specifikke databehandlingssituationer, herunder mere præcis fastlæggelse af de forhold, hvorunder behandling af personoplysninger er lovlig. |
| --- | --- |

(10)

For at sikre et ensartet og højt niveau for beskyttelse af fysiske personer og for at fjerne hindringerne for udveksling af personoplysninger inden for Unionen bør beskyttelsesniveauet for fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af sådanne oplysninger være ensartet i alle medlemsstater. Det bør sikres, at reglerne for beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger anvendes konsekvent og ensartet overalt i Unionen. I forbindelse med behandling af personoplysninger for at overholde en retlig forpligtelse eller for at udføre en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt, bør medlemsstaterne kunne opretholde eller indføre nationale bestemmelser for yderligere at præcisere anvendelsen af denne forordnings bestemmelser. Sammen med generel og horisontal lovgivning om databeskyttelse til gennemførelse af direktiv 95/46/EF har medlemsstaterne flere sektorspecifikke love på områder, hvor der er behov for mere specifikke bestemmelser. Denne forordning indeholder også en manøvremargen, så medlemsstaterne kan præcisere reglerne heri, herunder for behandling af særlige kategorier af personoplysninger (»følsomme oplysninger«). Denne forordning udelukker således ikke, at medlemsstaternes nationale ret fastlægger omstændighederne i forbindelse med specifikke databehandlingssituationer, herunder mere præcis fastlæggelse af de forhold, hvorunder behandling af personoplysninger er lovlig.

| (11) | For at sikre effektiv beskyttelse af personoplysninger i Unionen er det nødvendigt at styrke og præcisere de registreredes rettigheder og de forpligtelser, der påhviler dem, der behandler og træffer afgørelse om behandling af personoplysninger, samt at der gives tilsvarende beføjelser til at føre tilsyn med og sikre overholdelse af reglerne om beskyttelse af personoplysninger og indføres tilsvarende sanktioner ved overtrædelser i medlemsstaterne. |
| --- | --- |

(11)

For at sikre effektiv beskyttelse af personoplysninger i Unionen er det nødvendigt at styrke og præcisere de registreredes rettigheder og de forpligtelser, der påhviler dem, der behandler og træffer afgørelse om behandling af personoplysninger, samt at der gives tilsvarende beføjelser til at føre tilsyn med og sikre overholdelse af reglerne om beskyttelse af personoplysninger og indføres tilsvarende sanktioner ved overtrædelser i medlemsstaterne.

| (12) | Artikel 16, stk. 2, i TEUF giver Europa-Parlamentet og Rådet beføjelse til at fastsætte regler om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og regler om fri udveksling af sådanne oplysninger. |
| --- | --- |

(12)

Artikel 16, stk. 2, i TEUF giver Europa-Parlamentet og Rådet beføjelse til at fastsætte regler om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og regler om fri udveksling af sådanne oplysninger.

| (13) | For at sikre et ensartet beskyttelsesniveau for fysiske personer i hele Unionen og for at hindre, at forskelle hæmmer den frie udveksling af personoplysninger på det indre marked, er der behov for en forordning for at skabe retssikkerhed og gennemsigtighed for erhvervsdrivende, herunder mikrovirksomheder og små og mellemstore virksomheder, at give fysiske personer i alle medlemsstaterne det samme niveau af rettigheder, som kan håndhæves, og forpligtelser og ansvar for dataansvarlige og databehandlere og at sikre konsekvent tilsyn med behandling af personoplysninger og tilsvarende sanktioner i alle medlemsstaterne samt effektivt samarbejde mellem tilsynsmyndighederne i de forskellige medlemsstater. Et velfungerende indre marked kræver, at den frie udveksling af personoplysninger i Unionen hverken indskrænkes eller forbydes af grunde, der vedrører beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger. For at tage hensyn til den særlige situation for mikrovirksomheder og små og mellemstore virksomheder indeholder denne forordning en undtagelse for organisationer med mindre end 250 ansatte med hensyn til at føre fortegnelser. Derudover opfordres EU-institutionerne og -organerne samt medlemsstaterne og deres tilsynsmyndigheder til at tage hensyn til mikrovirksomheders og små og mellemstore virksomheders særlige behov i forbindelse med anvendelsen af denne forordning. Begreberne mikrovirksomheder og små og mellemstore virksomheder bør baseres på artikel 2 i bilaget til Kommissionens henstilling 2003/361/EF (5). |
| --- | --- |

(13)

For at sikre et ensartet beskyttelsesniveau for fysiske personer i hele Unionen og for at hindre, at forskelle hæmmer den frie udveksling af personoplysninger på det indre marked, er der behov for en forordning for at skabe retssikkerhed og gennemsigtighed for erhvervsdrivende, herunder mikrovirksomheder og små og mellemstore virksomheder, at give fysiske personer i alle medlemsstaterne det samme niveau af rettigheder, som kan håndhæves, og forpligtelser og ansvar for dataansvarlige og databehandlere og at sikre konsekvent tilsyn med behandling af personoplysninger og tilsvarende sanktioner i alle medlemsstaterne samt effektivt samarbejde mellem tilsynsmyndighederne i de forskellige medlemsstater. Et velfungerende indre marked kræver, at den frie udveksling af personoplysninger i Unionen hverken indskrænkes eller forbydes af grunde, der vedrører beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger. For at tage hensyn til den særlige situation for mikrovirksomheder og små og mellemstore virksomheder indeholder denne forordning en undtagelse for organisationer med mindre end 250 ansatte med hensyn til at føre fortegnelser. Derudover opfordres EU-institutionerne og -organerne samt medlemsstaterne og deres tilsynsmyndigheder til at tage hensyn til mikrovirksomheders og små og mellemstore virksomheders særlige behov i forbindelse med anvendelsen af denne forordning. Begreberne mikrovirksomheder og små og mellemstore virksomheder bør baseres på artikel 2 i bilaget til Kommissionens henstilling 2003/361/EF (5).

| (14) | Den beskyttelse, som denne forordning yder i forbindelse med behandling af personoplysninger, bør finde anvendelse på fysiske personer uanset nationalitet eller bopæl. Denne forordning finder ikke anvendelse på behandling af personoplysninger, der vedrører juridiske personer, navnlig virksomheder, der er etableret som juridiske personer, herunder den juridiske persons navn, form og kontaktoplysninger. |
| --- | --- |

(14)

Den beskyttelse, som denne forordning yder i forbindelse med behandling af personoplysninger, bør finde anvendelse på fysiske personer uanset nationalitet eller bopæl. Denne forordning finder ikke anvendelse på behandling af personoplysninger, der vedrører juridiske personer, navnlig virksomheder, der er etableret som juridiske personer, herunder den juridiske persons navn, form og kontaktoplysninger.

| (15) | For at undgå at skabe en alvorlig risiko for omgåelse bør beskyttelsen af fysiske personer være teknologineutral og ikke afhænge af de anvendte teknikker. Beskyttelsen af fysiske personer bør gælde for både automatisk og manuel behandling af personoplysninger, hvis personoplysningerne er indeholdt eller vil blive indeholdt i et register. Sagsmapper eller samlinger af sagsmapper samt deres forsider, som ikke er struktureret efter bestemte kriterier, bør ikke være omfattet af denne forordnings anvendelsesområde. |
| --- | --- |

(15)

For at undgå at skabe en alvorlig risiko for omgåelse bør beskyttelsen af fysiske personer være teknologineutral og ikke afhænge af de anvendte teknikker. Beskyttelsen af fysiske personer bør gælde for både automatisk og manuel behandling af personoplysninger, hvis personoplysningerne er indeholdt eller vil blive indeholdt i et register. Sagsmapper eller samlinger af sagsmapper samt deres forsider, som ikke er struktureret efter bestemte kriterier, bør ikke være omfattet af denne forordnings anvendelsesområde.

| (16) | Denne forordning finder ikke anvendelse på spørgsmål vedrørende beskyttelse af grundlæggende rettigheder og frihedsrettigheder eller fri udveksling af personoplysninger, der vedrører aktiviteter, som falder uden for EU-retten, såsom aktiviteter vedrørende statens sikkerhed. Denne forordning finder ikke anvendelse på behandling af personoplysninger, der foretages af medlemsstaterne, når de udfører aktiviteter i forbindelse med Unionens fælles udenrigs- og sikkerhedspolitik. |
| --- | --- |

(16)

Denne forordning finder ikke anvendelse på spørgsmål vedrørende beskyttelse af grundlæggende rettigheder og frihedsrettigheder eller fri udveksling af personoplysninger, der vedrører aktiviteter, som falder uden for EU-retten, såsom aktiviteter vedrørende statens sikkerhed. Denne forordning finder ikke anvendelse på behandling af personoplysninger, der foretages af medlemsstaterne, når de udfører aktiviteter i forbindelse med Unionens fælles udenrigs- og sikkerhedspolitik.

| (17) | Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 (6) finder anvendelse på behandling af personoplysninger, der foretages af Unionens institutioner, organer, kontorer og agenturer. Forordning (EF) nr. 45/2001 og andre EU-retsakter, der finder anvendelse på sådan behandling af personoplysninger, bør tilpasses til principperne og bestemmelserne fastsat i nærværende forordning og anvendes i lyset af nærværende forordning. Med henblik på at sikre en stærk og sammenhængende databeskyttelsesramme i Unionen bør de nødvendige tilpasninger af forordning (EF) nr. 45/2001 følge efter vedtagelsen af nærværende forordning, således at de finder anvendelse samtidig med nærværende forordning. |
| --- | --- |

(17)

Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 (6) finder anvendelse på behandling af personoplysninger, der foretages af Unionens institutioner, organer, kontorer og agenturer. Forordning (EF) nr. 45/2001 og andre EU-retsakter, der finder anvendelse på sådan behandling af personoplysninger, bør tilpasses til principperne og bestemmelserne fastsat i nærværende forordning og anvendes i lyset af nærværende forordning. Med henblik på at sikre en stærk og sammenhængende databeskyttelsesramme i Unionen bør de nødvendige tilpasninger af forordning (EF) nr. 45/2001 følge efter vedtagelsen af nærværende forordning, således at de finder anvendelse samtidig med nærværende forordning.

| (18) | Denne forordning gælder ikke for en fysisk persons behandling af oplysninger under en rent personlig eller familiemæssig aktivitet og således uden forbindelse med en erhvervsmæssig eller kommerciel aktivitet. Personlige eller familiemæssige aktiviteter kan omfatte korrespondance og føring af en adressefortegnelse eller sociale netværksaktiviteter og onlineaktiviteter, der udøves som led i sådanne aktiviteter. Denne forordning gælder dog for dataansvarlige eller databehandlere, som tilvejebringer midlerne til behandling af personoplysninger til sådanne personlige eller familiemæssige aktiviteter. |
| --- | --- |

(18)

Denne forordning gælder ikke for en fysisk persons behandling af oplysninger under en rent personlig eller familiemæssig aktivitet og således uden forbindelse med en erhvervsmæssig eller kommerciel aktivitet. Personlige eller familiemæssige aktiviteter kan omfatte korrespondance og føring af en adressefortegnelse eller sociale netværksaktiviteter og onlineaktiviteter, der udøves som led i sådanne aktiviteter. Denne forordning gælder dog for dataansvarlige eller databehandlere, som tilvejebringer midlerne til behandling af personoplysninger til sådanne personlige eller familiemæssige aktiviteter.

| (19) | Beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskyttelsen mod og forebyggelsen af trusler mod den offentlige sikkerhed og den frie udveksling af sådanne oplysninger, er genstand for en specifik EU-retsakt. Denne forordning bør derfor ikke gælde for behandlingsaktiviteter med disse formål. Behandling af personoplysninger af offentlige myndigheder, som er omfattet af denne forordning, med henblik på disse formål bør imidlertid være genstand for en mere specifik EU-retsakt, Europa-Parlamentets og Rådets direktiv (EU) 2016/680 (7). Medlemsstater kan overdrage opgaver, der ikke nødvendigvis foretages med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, til de kompetente myndigheder som omhandlet i direktiv (EU) 2016/680, således at behandling af personoplysninger til disse andre formål, for så vidt som de er omfattet af EU-retten, falder ind under denne forordnings anvendelsesområde.
  Med hensyn til disse kompetente myndigheders behandling af personoplysninger til formål, der er omfattet af anvendelsesområdet for denne forordning, bør medlemsstaterne kunne opretholde eller indføre mere specifikke bestemmelser for at tilpasse anvendelsen af reglerne i denne forordning. Sådanne bestemmelser kan mere præcist fastlægge specifikke krav til disse kompetente myndigheders behandling af personoplysninger til disse andre formål under hensyntagen til den forfatningsmæssige, organisatoriske og administrative struktur i den pågældende medlemsstat. Når behandling af personoplysninger foretaget af private organer er omfattet af denne forordnings anvendelsesområde, bør forordningen give medlemsstaterne mulighed for på særlige betingelser ved lov at begrænse visse forpligtelser og rettigheder, når en sådan begrænsning udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund for at sikre bestemte vigtige interesser, herunder den offentlige sikkerhed og forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed. Dette er f.eks. relevant inden for rammerne af bekæmpelse af hvidvaskning af penge eller kriminaltekniske laboratoriers aktiviteter. |
| --- | --- |

(19)

Beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskyttelsen mod og forebyggelsen af trusler mod den offentlige sikkerhed og den frie udveksling af sådanne oplysninger, er genstand for en specifik EU-retsakt. Denne forordning bør derfor ikke gælde for behandlingsaktiviteter med disse formål. Behandling af personoplysninger af offentlige myndigheder, som er omfattet af denne forordning, med henblik på disse formål bør imidlertid være genstand for en mere specifik EU-retsakt, Europa-Parlamentets og Rådets direktiv (EU) 2016/680 (7). Medlemsstater kan overdrage opgaver, der ikke nødvendigvis foretages med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, til de kompetente myndigheder som omhandlet i direktiv (EU) 2016/680, således at behandling af personoplysninger til disse andre formål, for så vidt som de er omfattet af EU-retten, falder ind under denne forordnings anvendelsesområde.

Med hensyn til disse kompetente myndigheders behandling af personoplysninger til formål, der er omfattet af anvendelsesområdet for denne forordning, bør medlemsstaterne kunne opretholde eller indføre mere specifikke bestemmelser for at tilpasse anvendelsen af reglerne i denne forordning. Sådanne bestemmelser kan mere præcist fastlægge specifikke krav til disse kompetente myndigheders behandling af personoplysninger til disse andre formål under hensyntagen til den forfatningsmæssige, organisatoriske og administrative struktur i den pågældende medlemsstat. Når behandling af personoplysninger foretaget af private organer er omfattet af denne forordnings anvendelsesområde, bør forordningen give medlemsstaterne mulighed for på særlige betingelser ved lov at begrænse visse forpligtelser og rettigheder, når en sådan begrænsning udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund for at sikre bestemte vigtige interesser, herunder den offentlige sikkerhed og forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed. Dette er f.eks. relevant inden for rammerne af bekæmpelse af hvidvaskning af penge eller kriminaltekniske laboratoriers aktiviteter.

| (20) | Selv om denne forordning bl.a. finder anvendelse på domstoles og andre judicielle myndigheders aktiviteter, kan EU-retten eller medlemsstaternes nationale ret præcisere, hvilke behandlingsaktiviteter og -procedurer der finder anvendelse i forbindelse med domstoles og andre judicielle myndigheders behandling af personoplysninger. Tilsynsmyndighedernes kompetence bør af hensyn til dommerstandens uafhængighed under udførelsen af dens judicielle opgaver, herunder ved beslutningstagning, ikke omfatte domstolenes behandling af personoplysninger, når domstole handler i deres egenskab af domstol. Tilsynet med sådanne databehandlingsaktiviteter bør kunne overdrages til specifikke organer i medlemsstatens retssystem, der navnlig bør sikre overholdelsen af reglerne i denne forordning, gøre dommerstanden bekendt med dens forpligtelser i henhold til denne forordning og behandle klager over sådanne databehandlingsaktiviteter. |
| --- | --- |

(20)

Selv om denne forordning bl.a. finder anvendelse på domstoles og andre judicielle myndigheders aktiviteter, kan EU-retten eller medlemsstaternes nationale ret præcisere, hvilke behandlingsaktiviteter og -procedurer der finder anvendelse i forbindelse med domstoles og andre judicielle myndigheders behandling af personoplysninger. Tilsynsmyndighedernes kompetence bør af hensyn til dommerstandens uafhængighed under udførelsen af dens judicielle opgaver, herunder ved beslutningstagning, ikke omfatte domstolenes behandling af personoplysninger, når domstole handler i deres egenskab af domstol. Tilsynet med sådanne databehandlingsaktiviteter bør kunne overdrages til specifikke organer i medlemsstatens retssystem, der navnlig bør sikre overholdelsen af reglerne i denne forordning, gøre dommerstanden bekendt med dens forpligtelser i henhold til denne forordning og behandle klager over sådanne databehandlingsaktiviteter.

| (21) | Denne forordning berører ikke anvendelsen af Europa-Parlamentets og Rådets direktiv 2000/31/EF (8), navnlig reglerne om formidleransvar for tjenesteydere, der er fastsat i artikel 12-15 i dette direktiv. Direktivet har til formål at bidrage til et velfungerende indre marked ved at sikre den frie bevægelighed for informationssamfundstjenester mellem medlemsstaterne. |
| --- | --- |

(21)

Denne forordning berører ikke anvendelsen af Europa-Parlamentets og Rådets direktiv 2000/31/EF (8), navnlig reglerne om formidleransvar for tjenesteydere, der er fastsat i artikel 12-15 i dette direktiv. Direktivet har til formål at bidrage til et velfungerende indre marked ved at sikre den frie bevægelighed for informationssamfundstjenester mellem medlemsstaterne.

| (22) | Enhver behandling af personoplysninger, som foretages som led i aktiviteter, der udføres for en dataansvarlig eller en databehandler, som er etableret i Unionen, bør gennemføres i overensstemmelse med denne forordning, uanset om selve behandlingen finder sted i Unionen. Etablering indebærer effektiv og faktisk udøvelse af aktivitet gennem en mere permanent struktur. De pågældende ordningers retlige form, hvad enten det er en filial eller et datterselskab med status som juridisk person, har ikke afgørende betydning i denne forbindelse. |
| --- | --- |

(22)

Enhver behandling af personoplysninger, som foretages som led i aktiviteter, der udføres for en dataansvarlig eller en databehandler, som er etableret i Unionen, bør gennemføres i overensstemmelse med denne forordning, uanset om selve behandlingen finder sted i Unionen. Etablering indebærer effektiv og faktisk udøvelse af aktivitet gennem en mere permanent struktur. De pågældende ordningers retlige form, hvad enten det er en filial eller et datterselskab med status som juridisk person, har ikke afgørende betydning i denne forbindelse.

| (23) | For at sikre, at fysiske personer ikke unddrages den beskyttelse, som de har ret til i medfør af denne forordning, bør behandling af personoplysninger om registrerede, der er i Unionen, som foretages af en dataansvarlig eller en databehandler, der ikke er etableret i Unionen, være omfattet af denne forordning, hvis behandlingsaktiviteterne vedrører udbud af varer eller tjenesteydelser til sådanne registrerede, uanset om de er knyttet til en betaling. Med henblik på at afgøre, om en sådan dataansvarlig eller databehandler udbyder varer eller tjenesteydelser til registrerede, der befinder sig i Unionen, bør det undersøges, om det er åbenbart, at den dataansvarlige eller databehandleren påtænker at udbyde tjenesteydelser til registrerede i en eller flere EU-medlemsstater. Selv om det forhold, at der er adgang til den dataansvarliges, databehandlerens eller en mellemmands websted i Unionen, til en e-mailadresse eller til andre kontaktoplysninger, eller at der anvendes et sprog, der almindeligvis anvendes i det tredjeland, hvor den dataansvarlige er etableret, i sig selv er utilstrækkeligt til at fastslå en sådan hensigt, kan faktorer såsom anvendelse af et sprog eller en valuta, der almindeligvis anvendes i en eller flere medlemsstater, med mulighed for at bestille varer og tjenesteydelser på det pågældende sprog eller omtale af kunder eller brugere, der befinder sig i Unionen, gøre det åbenbart, at den dataansvarlige påtænker at udbyde varer eller tjenesteydelser til registrerede i Unionen. |
| --- | --- |

(23)

For at sikre, at fysiske personer ikke unddrages den beskyttelse, som de har ret til i medfør af denne forordning, bør behandling af personoplysninger om registrerede, der er i Unionen, som foretages af en dataansvarlig eller en databehandler, der ikke er etableret i Unionen, være omfattet af denne forordning, hvis behandlingsaktiviteterne vedrører udbud af varer eller tjenesteydelser til sådanne registrerede, uanset om de er knyttet til en betaling. Med henblik på at afgøre, om en sådan dataansvarlig eller databehandler udbyder varer eller tjenesteydelser til registrerede, der befinder sig i Unionen, bør det undersøges, om det er åbenbart, at den dataansvarlige eller databehandleren påtænker at udbyde tjenesteydelser til registrerede i en eller flere EU-medlemsstater. Selv om det forhold, at der er adgang til den dataansvarliges, databehandlerens eller en mellemmands websted i Unionen, til en e-mailadresse eller til andre kontaktoplysninger, eller at der anvendes et sprog, der almindeligvis anvendes i det tredjeland, hvor den dataansvarlige er etableret, i sig selv er utilstrækkeligt til at fastslå en sådan hensigt, kan faktorer såsom anvendelse af et sprog eller en valuta, der almindeligvis anvendes i en eller flere medlemsstater, med mulighed for at bestille varer og tjenesteydelser på det pågældende sprog eller omtale af kunder eller brugere, der befinder sig i Unionen, gøre det åbenbart, at den dataansvarlige påtænker at udbyde varer eller tjenesteydelser til registrerede i Unionen.

| (24) | Behandling af personoplysninger om registrerede, der befinder sig i Unionen, foretaget af en dataansvarlig eller en databehandler, der ikke er etableret i Unionen, bør også være omfattet af denne forordning, når den vedrører overvågning af sådanne registreredes adfærd, så længe denne adfærd foregår inden for Unionen. For at afgøre, om en behandlingsaktivitet kan betragtes som overvågning af registreredes adfærd, bør det undersøges, om fysiske personer spores på internettet, herunder mulig efterfølgende brug af teknikker til behandling af personoplysninger, der består i profilering af en fysisk person, navnlig med det formål at træffe beslutninger om den pågældende eller analysere eller forudsige den pågældendes præferencer, adfærd og holdninger. |
| --- | --- |

(24)

Behandling af personoplysninger om registrerede, der befinder sig i Unionen, foretaget af en dataansvarlig eller en databehandler, der ikke er etableret i Unionen, bør også være omfattet af denne forordning, når den vedrører overvågning af sådanne registreredes adfærd, så længe denne adfærd foregår inden for Unionen. For at afgøre, om en behandlingsaktivitet kan betragtes som overvågning af registreredes adfærd, bør det undersøges, om fysiske personer spores på internettet, herunder mulig efterfølgende brug af teknikker til behandling af personoplysninger, der består i profilering af en fysisk person, navnlig med det formål at træffe beslutninger om den pågældende eller analysere eller forudsige den pågældendes præferencer, adfærd og holdninger.

| (25) | Hvis medlemsstaternes nationale ret finder anvendelse i medfør af folkeretten, bør denne forordning også gælde for en dataansvarlig, der ikke er etableret i Unionen, som f.eks. ved en medlemsstats diplomatiske eller konsulære repræsentation. |
| --- | --- |

(25)

Hvis medlemsstaternes nationale ret finder anvendelse i medfør af folkeretten, bør denne forordning også gælde for en dataansvarlig, der ikke er etableret i Unionen, som f.eks. ved en medlemsstats diplomatiske eller konsulære repræsentation.

| (26) | Principperne for databeskyttelse bør gælde for enhver information om en identificeret eller identificerbar fysisk person. Personoplysninger, der har været genstand for pseudonymisering, og som kan henføres til en fysisk person ved brug af supplerende oplysninger, bør anses for at være oplysninger om en identificerbar fysisk person. For at afgøre, om en fysisk person er identificerbar, bør alle midler tages i betragtning, der med rimelighed kan tænkes bragt i anvendelse af den dataansvarlige eller en anden person til direkte eller indirekte at identificere, herunder udpege, den pågældende. For at fastslå, om midler med rimelighed kan tænkes bragt i anvendelse til at identificere en fysisk person, bør alle objektive forhold tages i betragtning, såsom omkostninger ved og tid der er nødvendig til identifikation, under hensyntagen til den tilgængelige teknologi på behandlingstidspunktet og den teknologiske udvikling. Databeskyttelsesprincipperne bør derfor ikke gælde for anonyme oplysninger, dvs. oplysninger, der ikke vedrører en identificeret eller identificerbar fysisk person, eller for personoplysninger, som er gjort anonyme på en sådan måde, at den registrerede ikke eller ikke længere kan identificeres. Denne forordning vedrører derfor ikke behandling af sådanne anonyme oplysninger, herunder til statistiske eller forskningsmæssige formål. |
| --- | --- |

(26)

Principperne for databeskyttelse bør gælde for enhver information om en identificeret eller identificerbar fysisk person. Personoplysninger, der har været genstand for pseudonymisering, og som kan henføres til en fysisk person ved brug af supplerende oplysninger, bør anses for at være oplysninger om en identificerbar fysisk person. For at afgøre, om en fysisk person er identificerbar, bør alle midler tages i betragtning, der med rimelighed kan tænkes bragt i anvendelse af den dataansvarlige eller en anden person til direkte eller indirekte at identificere, herunder udpege, den pågældende. For at fastslå, om midler med rimelighed kan tænkes bragt i anvendelse til at identificere en fysisk person, bør alle objektive forhold tages i betragtning, såsom omkostninger ved og tid der er nødvendig til identifikation, under hensyntagen til den tilgængelige teknologi på behandlingstidspunktet og den teknologiske udvikling. Databeskyttelsesprincipperne bør derfor ikke gælde for anonyme oplysninger, dvs. oplysninger, der ikke vedrører en identificeret eller identificerbar fysisk person, eller for personoplysninger, som er gjort anonyme på en sådan måde, at den registrerede ikke eller ikke længere kan identificeres. Denne forordning vedrører derfor ikke behandling af sådanne anonyme oplysninger, herunder til statistiske eller forskningsmæssige formål.

| (27) | Denne forordning finder ikke anvendelse på personoplysninger om afdøde personer. Medlemsstaterne kan fastsætte regler for behandling af personoplysninger om afdøde personer. |
| --- | --- |

(27)

Denne forordning finder ikke anvendelse på personoplysninger om afdøde personer. Medlemsstaterne kan fastsætte regler for behandling af personoplysninger om afdøde personer.

| (28) | Anvendelsen af pseudonymisering af personoplysninger kan mindske risikoen for de berørte registrerede og gøre det lettere for dataansvarlige og databehandlere at opfylde deres databeskyttelsesforpligtelser. Det er ikke tanken med den udtrykkelige indførelse af »pseudonymisering« i denne forordning at udelukke andre databeskyttelsesforanstaltninger. |
| --- | --- |

(28)

Anvendelsen af pseudonymisering af personoplysninger kan mindske risikoen for de berørte registrerede og gøre det lettere for dataansvarlige og databehandlere at opfylde deres databeskyttelsesforpligtelser. Det er ikke tanken med den udtrykkelige indførelse af »pseudonymisering« i denne forordning at udelukke andre databeskyttelsesforanstaltninger.

| (29) | For at skabe incitamenter til anvendelse af pseudonymisering i forbindelse med behandling af personoplysninger bør pseudonymiseringsforanstaltninger, som samtidig tillader en generel analyse, under den samme dataansvarlige være mulige, når den dataansvarlige har truffet de tekniske og organisatoriske foranstaltninger, der er nødvendige for at sikre, at denne forordning gennemføres for så vidt angår den pågældende behandling, og at yderligere oplysninger, der gør det muligt at henføre personoplysninger til en bestemt registreret, opbevares separat. Den dataansvarlige, som behandler personoplysningerne, bør anføre de autoriserede personer under den samme dataansvarlige. |
| --- | --- |

(29)

For at skabe incitamenter til anvendelse af pseudonymisering i forbindelse med behandling af personoplysninger bør pseudonymiseringsforanstaltninger, som samtidig tillader en generel analyse, under den samme dataansvarlige være mulige, når den dataansvarlige har truffet de tekniske og organisatoriske foranstaltninger, der er nødvendige for at sikre, at denne forordning gennemføres for så vidt angår den pågældende behandling, og at yderligere oplysninger, der gør det muligt at henføre personoplysninger til en bestemt registreret, opbevares separat. Den dataansvarlige, som behandler personoplysningerne, bør anføre de autoriserede personer under den samme dataansvarlige.

| (30) | Fysiske personer kan tilknyttes onlineidentifikatorer, som tilvejebringes af deres enheder, applikationer, værktøjer og protokoller, såsom IP-adresser og cookieidentifikatorer, eller andre identifikatorer, såsom radiofrekvensidentifikationsmærker. Dette kan efterlade spor, der, navnlig når de kombineres med unikke identifikatorer og andre oplysninger, som serverne modtager, kan bruges til at oprette profiler om fysiske personer og identificere dem. |
| --- | --- |

(30)

Fysiske personer kan tilknyttes onlineidentifikatorer, som tilvejebringes af deres enheder, applikationer, værktøjer og protokoller, såsom IP-adresser og cookieidentifikatorer, eller andre identifikatorer, såsom radiofrekvensidentifikationsmærker. Dette kan efterlade spor, der, navnlig når de kombineres med unikke identifikatorer og andre oplysninger, som serverne modtager, kan bruges til at oprette profiler om fysiske personer og identificere dem.

| (31) | Offentlige myndigheder, til hvem personoplysninger videregives i overensstemmelse med en retlig forpligtelse i forbindelse med udøvelsen af deres officielle hverv, såsom skatte- og toldmyndigheder, finansielle efterforskningsenheder, uafhængige administrative myndigheder eller finansielle markedsmyndigheder, der er ansvarlige for regulering af og tilsyn med værdipapirmarkederne, bør ikke betragtes som værende modtagere, hvis de modtager personoplysninger, der er nødvendige som led i en isoleret forespørgsel af almen interesse i overensstemmelse med EU-retten eller medlemsstaternes nationale ret. Anmodninger om videregivelse af oplysninger sendt af offentlige myndigheder bør altid være skriftlige, begrundede og lejlighedsvise og bør ikke vedrøre et register som helhed eller føre til samkøring af registre. Disse offentlige myndigheders behandling af personoplysninger bør være i overensstemmelse med de gældende databeskyttelsesregler afhængigt af formålet med behandlingen. |
| --- | --- |

(31)

Offentlige myndigheder, til hvem personoplysninger videregives i overensstemmelse med en retlig forpligtelse i forbindelse med udøvelsen af deres officielle hverv, såsom skatte- og toldmyndigheder, finansielle efterforskningsenheder, uafhængige administrative myndigheder eller finansielle markedsmyndigheder, der er ansvarlige for regulering af og tilsyn med værdipapirmarkederne, bør ikke betragtes som værende modtagere, hvis de modtager personoplysninger, der er nødvendige som led i en isoleret forespørgsel af almen interesse i overensstemmelse med EU-retten eller medlemsstaternes nationale ret. Anmodninger om videregivelse af oplysninger sendt af offentlige myndigheder bør altid være skriftlige, begrundede og lejlighedsvise og bør ikke vedrøre et register som helhed eller føre til samkøring af registre. Disse offentlige myndigheders behandling af personoplysninger bør være i overensstemmelse med de gældende databeskyttelsesregler afhængigt af formålet med behandlingen.

| (32) | Samtykke bør gives i form af en klar bekræftelse, der indebærer en frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved vedkommende accepterer, at personoplysninger om vedkommende behandles, f.eks. ved en skriftlig erklæring, herunder elektronisk, eller en mundtlig erklæring. Dette kan f.eks. foregå ved at sætte kryds i et felt ved besøg på et websted, ved valg af tekniske indstillinger til informationssamfundstjenester eller en anden erklæring eller handling, der tydeligt i denne forbindelse tilkendegiver den registreredes accept af den foreslåede behandling af vedkommendes personoplysninger. Tavshed, forudafkrydsede felter eller inaktivitet bør derfor ikke udgøre samtykke. Samtykke bør dække alle behandlingsaktiviteter, der udføres til det eller de samme formål. Når behandling tjener flere formål, bør der gives samtykke til dem alle. Hvis den registreredes samtykke skal gives efter en elektronisk anmodning, skal anmodningen være klar, kortfattet og ikke unødigt forstyrre brugen af den tjeneste, som samtykke gives til. |
| --- | --- |

(32)

Samtykke bør gives i form af en klar bekræftelse, der indebærer en frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved vedkommende accepterer, at personoplysninger om vedkommende behandles, f.eks. ved en skriftlig erklæring, herunder elektronisk, eller en mundtlig erklæring. Dette kan f.eks. foregå ved at sætte kryds i et felt ved besøg på et websted, ved valg af tekniske indstillinger til informationssamfundstjenester eller en anden erklæring eller handling, der tydeligt i denne forbindelse tilkendegiver den registreredes accept af den foreslåede behandling af vedkommendes personoplysninger. Tavshed, forudafkrydsede felter eller inaktivitet bør derfor ikke udgøre samtykke. Samtykke bør dække alle behandlingsaktiviteter, der udføres til det eller de samme formål. Når behandling tjener flere formål, bør der gives samtykke til dem alle. Hvis den registreredes samtykke skal gives efter en elektronisk anmodning, skal anmodningen være klar, kortfattet og ikke unødigt forstyrre brugen af den tjeneste, som samtykke gives til.

| (33) | Det er ofte ikke muligt fuldt ud at fastlægge formålet med behandling af personoplysninger til videnskabelige forskningsformål, når oplysninger indsamles. De registrerede bør derfor kunne give deres samtykke til bestemte videnskabelige forskningsområder, når dette er i overensstemmelse med anerkendte etiske standarder for videnskabelig forskning. Registrerede bør have mulighed for kun at give deres samtykke til bestemte forskningsområder eller dele af forskningsprojekter i det omfang, det tilsigtede formål tillader det. |
| --- | --- |

(33)

Det er ofte ikke muligt fuldt ud at fastlægge formålet med behandling af personoplysninger til videnskabelige forskningsformål, når oplysninger indsamles. De registrerede bør derfor kunne give deres samtykke til bestemte videnskabelige forskningsområder, når dette er i overensstemmelse med anerkendte etiske standarder for videnskabelig forskning. Registrerede bør have mulighed for kun at give deres samtykke til bestemte forskningsområder eller dele af forskningsprojekter i det omfang, det tilsigtede formål tillader det.

| (34) | Genetiske data bør defineres som personoplysninger vedrørende en fysisk persons arvede eller erhvervede genetiske karakteristika, som foreligger efter en analyse af en biologisk prøve fra den pågældende fysiske person, navnlig en analyse på kromosomniveau, af deoxyribonukleinsyre (DNA) eller af ribonukleinsyre (RNA), eller efter en analyse af et andet element til indhentning af lignende oplysninger. |
| --- | --- |

(34)

Genetiske data bør defineres som personoplysninger vedrørende en fysisk persons arvede eller erhvervede genetiske karakteristika, som foreligger efter en analyse af en biologisk prøve fra den pågældende fysiske person, navnlig en analyse på kromosomniveau, af deoxyribonukleinsyre (DNA) eller af ribonukleinsyre (RNA), eller efter en analyse af et andet element til indhentning af lignende oplysninger.

| (35) | Helbredsoplysninger bør omfatte alle personoplysninger om den registreredes helbredstilstand, som giver oplysninger om den registreredes tidligere, nuværende eller fremtidige fysiske eller mentale helbredstilstand. Dette omfatter oplysninger om den fysiske person indsamlet i løbet af registreringen af denne med henblik på eller under levering af sundhedsydelser, jf. Europa-Parlamentets og Rådets direktiv 2011/24/EU (9), til den fysiske person; et nummer, symbol eller særligt mærke, der tildeles en fysisk person for entydigt at identificere den fysiske person til sundhedsformål; oplysninger, der hidrører fra prøver eller undersøgelser af en legemsdel eller legemlig substans, herunder fra genetiske data og biologiske prøver; og enhver oplysning om f.eks. en sygdom, et handicap, en sygdomsrisiko, en sygehistorie, en sundhedsfaglig behandling eller den registreredes fysiologiske eller biomedicinske tilstand uafhængigt af kilden hertil, f.eks. fra en læge eller anden sundhedsperson, et hospital, medicinsk udstyr eller in vitro-diagnostik. |
| --- | --- |

(35)

Helbredsoplysninger bør omfatte alle personoplysninger om den registreredes helbredstilstand, som giver oplysninger om den registreredes tidligere, nuværende eller fremtidige fysiske eller mentale helbredstilstand. Dette omfatter oplysninger om den fysiske person indsamlet i løbet af registreringen af denne med henblik på eller under levering af sundhedsydelser, jf. Europa-Parlamentets og Rådets direktiv 2011/24/EU (9), til den fysiske person; et nummer, symbol eller særligt mærke, der tildeles en fysisk person for entydigt at identificere den fysiske person til sundhedsformål; oplysninger, der hidrører fra prøver eller undersøgelser af en legemsdel eller legemlig substans, herunder fra genetiske data og biologiske prøver; og enhver oplysning om f.eks. en sygdom, et handicap, en sygdomsrisiko, en sygehistorie, en sundhedsfaglig behandling eller den registreredes fysiologiske eller biomedicinske tilstand uafhængigt af kilden hertil, f.eks. fra en læge eller anden sundhedsperson, et hospital, medicinsk udstyr eller in vitro-diagnostik.

| (36) | En dataansvarligs hovedvirksomhed i Unionen bør være stedet for dennes centrale administration i Unionen, medmindre der træffes beslutninger vedrørende formål og hjælpemidler i forbindelse med behandling af personoplysninger et andet sted i Unionen, hvor den dataansvarlige er etableret; i dette tilfælde bør dette andet sted anses for at være hovedvirksomheden. En dataansvarligs hovedvirksomhed i Unionen bør fastlægges ud fra objektive kriterier og bør indebære effektiv og faktisk udøvelse af ledelsesaktiviteter, der fastlægger de vigtigste beslutninger om behandlingsformål og -hjælpemidler gennem en mere permanent struktur. Dette kriterium bør ikke afhænge af, om behandling af personoplysninger foretages på dette sted. Det forhold, at der findes og anvendes tekniske midler og teknologi til behandling af personoplysninger eller behandlingsaktiviteter, medfører ikke i sig selv, at der er etableret en hovedvirksomhed, og er derfor ikke afgørende for kriteriet om hovedvirksomhed. Databehandlerens hovedvirksomhed bør være stedet for den pågældendes centrale administration i Unionen, eller hvis databehandleren ikke har nogen central administration i Unionen, det sted, hvor hovedbehandlingsaktiviteterne foregår i Unionen. I tilfælde, der involverer både den dataansvarlige og databehandleren, bør den kompetente ledende tilsynsmyndighed fortsat være tilsynsmyndigheden i den medlemsstat, hvor den dataansvarlige har sin hovedvirksomhed, men databehandlerens tilsynsmyndighed bør anses for at være en berørt tilsynsmyndighed, og denne tilsynsmyndighed bør deltage i den samarbejdsprocedure, der er fastsat i denne forordning. Under alle omstændigheder bør tilsynsmyndighederne i den eller de medlemsstater, hvor databehandleren har en eller flere etableringer, ikke anses for at være berørte tilsynsmyndigheder, når et udkast til afgørelse kun vedrører den dataansvarlige. Foretages behandlingen af en koncern, bør den kontrollerende virksomheds hovedvirksomhed anses for at være koncernens hovedvirksomhed, medmindre formål og hjælpemidler fastlægges af en anden virksomhed. |
| --- | --- |

(36)

En dataansvarligs hovedvirksomhed i Unionen bør være stedet for dennes centrale administration i Unionen, medmindre der træffes beslutninger vedrørende formål og hjælpemidler i forbindelse med behandling af personoplysninger et andet sted i Unionen, hvor den dataansvarlige er etableret; i dette tilfælde bør dette andet sted anses for at være hovedvirksomheden. En dataansvarligs hovedvirksomhed i Unionen bør fastlægges ud fra objektive kriterier og bør indebære effektiv og faktisk udøvelse af ledelsesaktiviteter, der fastlægger de vigtigste beslutninger om behandlingsformål og -hjælpemidler gennem en mere permanent struktur. Dette kriterium bør ikke afhænge af, om behandling af personoplysninger foretages på dette sted. Det forhold, at der findes og anvendes tekniske midler og teknologi til behandling af personoplysninger eller behandlingsaktiviteter, medfører ikke i sig selv, at der er etableret en hovedvirksomhed, og er derfor ikke afgørende for kriteriet om hovedvirksomhed. Databehandlerens hovedvirksomhed bør være stedet for den pågældendes centrale administration i Unionen, eller hvis databehandleren ikke har nogen central administration i Unionen, det sted, hvor hovedbehandlingsaktiviteterne foregår i Unionen. I tilfælde, der involverer både den dataansvarlige og databehandleren, bør den kompetente ledende tilsynsmyndighed fortsat være tilsynsmyndigheden i den medlemsstat, hvor den dataansvarlige har sin hovedvirksomhed, men databehandlerens tilsynsmyndighed bør anses for at være en berørt tilsynsmyndighed, og denne tilsynsmyndighed bør deltage i den samarbejdsprocedure, der er fastsat i denne forordning. Under alle omstændigheder bør tilsynsmyndighederne i den eller de medlemsstater, hvor databehandleren har en eller flere etableringer, ikke anses for at være berørte tilsynsmyndigheder, når et udkast til afgørelse kun vedrører den dataansvarlige. Foretages behandlingen af en koncern, bør den kontrollerende virksomheds hovedvirksomhed anses for at være koncernens hovedvirksomhed, medmindre formål og hjælpemidler fastlægges af en anden virksomhed.

| (37) | En koncern bør omfatte en virksomhed, der udøver kontrol, og de af denne kontrollerede virksomheder, hvor den kontrollerende virksomhed bør være den virksomhed, der kan udøve bestemmende indflydelse på de øvrige virksomheder, f.eks. i kraft af ejendomsret, finansiel deltagelse eller de regler, den er underlagt, eller beføjelsen til at få gennemført regler om beskyttelse af personoplysninger. En virksomhed, der udøver kontrol med behandlingen af personoplysninger i de virksomheder, der er knyttet til den, bør sammen med disse virksomheder anses som en koncern. |
| --- | --- |

(37)

En koncern bør omfatte en virksomhed, der udøver kontrol, og de af denne kontrollerede virksomheder, hvor den kontrollerende virksomhed bør være den virksomhed, der kan udøve bestemmende indflydelse på de øvrige virksomheder, f.eks. i kraft af ejendomsret, finansiel deltagelse eller de regler, den er underlagt, eller beføjelsen til at få gennemført regler om beskyttelse af personoplysninger. En virksomhed, der udøver kontrol med behandlingen af personoplysninger i de virksomheder, der er knyttet til den, bør sammen med disse virksomheder anses som en koncern.

| (38) | Børn bør nyde særlig beskyttelse af deres personoplysninger, eftersom de ofte er mindre bevidste om de pågældende risici, konsekvenser og garantier og deres rettigheder for så vidt angår behandling af personoplysninger. En sådan særlig beskyttelse bør navnlig gælde for brug af børns personoplysninger med henblik på markedsføring eller til at oprette personligheds- eller brugerprofiler og indsamling af personoplysninger vedrørende børn, når de anvender tjenester, der tilbydes direkte til et barn. Samtykke fra indehaveren af forældremyndigheden er ikke nødvendigt, når det drejer sig om forebyggende eller rådgivende tjenester, der tilbydes direkte til et barn. |
| --- | --- |

(38)

Børn bør nyde særlig beskyttelse af deres personoplysninger, eftersom de ofte er mindre bevidste om de pågældende risici, konsekvenser og garantier og deres rettigheder for så vidt angår behandling af personoplysninger. En sådan særlig beskyttelse bør navnlig gælde for brug af børns personoplysninger med henblik på markedsføring eller til at oprette personligheds- eller brugerprofiler og indsamling af personoplysninger vedrørende børn, når de anvender tjenester, der tilbydes direkte til et barn. Samtykke fra indehaveren af forældremyndigheden er ikke nødvendigt, når det drejer sig om forebyggende eller rådgivende tjenester, der tilbydes direkte til et barn.

| (39) | Enhver behandling af personoplysninger bør være lovlig og rimelig. Det bør være gennemsigtigt for de pågældende fysiske personer, at personoplysninger, der vedrører dem, indsamles, anvendes, tilgås eller på anden vis behandles, og i hvilket omfang personoplysningerne behandles eller vil blive behandlet. Princippet om gennemsigtighed tilsiger, at enhver information og kommunikation vedrørende behandling af disse personoplysninger er lettilgængelig og letforståelig, og at der benyttes et klart og enkelt sprog. Dette princip vedrører navnlig oplysningen til de registrerede om den dataansvarliges identitet og formålene med den pågældende behandling samt yderligere oplysninger for at sikre en rimelig og gennemsigtig behandling for de berørte fysiske personer og deres ret til at få bekræftelse og meddelelse om de personoplysninger vedrørende dem, der behandles. Fysiske personer bør gøres bekendt med risici, regler, garantier og rettigheder i forbindelse med behandling af personoplysninger og med, hvordan de skal udøve deres rettigheder i forbindelse med en sådan behandling. Især bør de specifikke formål med behandlingen af personoplysninger være udtrykkelige og legitime og fastlagt, når personoplysningerne indsamles. Personoplysningerne bør være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til formålene med deres behandling. Dette kræver navnlig, at det sikres, at perioden for opbevaring af personoplysningerne ikke er længere end strengt nødvendigt. Personoplysninger bør kun behandles, hvis formålet med behandlingen ikke med rimelighed kan opfyldes på anden måde. For at sikre, at personoplysninger ikke opbevares i længere tid end nødvendigt, bør den dataansvarlige indføre tidsfrister for sletning eller periodisk gennemgang. Der bør træffes enhver rimelig foranstaltning for at sikre, at personoplysninger, som er urigtige, berigtiges eller slettes. Personoplysninger bør behandles på en måde, der garanterer tilstrækkelig sikkerhed og fortrolighed, herunder for at hindre uautoriseret adgang til eller anvendelse af personoplysninger eller af det udstyr, der anvendes til behandlingen. |
| --- | --- |

(39)

Enhver behandling af personoplysninger bør være lovlig og rimelig. Det bør være gennemsigtigt for de pågældende fysiske personer, at personoplysninger, der vedrører dem, indsamles, anvendes, tilgås eller på anden vis behandles, og i hvilket omfang personoplysningerne behandles eller vil blive behandlet. Princippet om gennemsigtighed tilsiger, at enhver information og kommunikation vedrørende behandling af disse personoplysninger er lettilgængelig og letforståelig, og at der benyttes et klart og enkelt sprog. Dette princip vedrører navnlig oplysningen til de registrerede om den dataansvarliges identitet og formålene med den pågældende behandling samt yderligere oplysninger for at sikre en rimelig og gennemsigtig behandling for de berørte fysiske personer og deres ret til at få bekræftelse og meddelelse om de personoplysninger vedrørende dem, der behandles. Fysiske personer bør gøres bekendt med risici, regler, garantier og rettigheder i forbindelse med behandling af personoplysninger og med, hvordan de skal udøve deres rettigheder i forbindelse med en sådan behandling. Især bør de specifikke formål med behandlingen af personoplysninger være udtrykkelige og legitime og fastlagt, når personoplysningerne indsamles. Personoplysningerne bør være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til formålene med deres behandling. Dette kræver navnlig, at det sikres, at perioden for opbevaring af personoplysningerne ikke er længere end strengt nødvendigt. Personoplysninger bør kun behandles, hvis formålet med behandlingen ikke med rimelighed kan opfyldes på anden måde. For at sikre, at personoplysninger ikke opbevares i længere tid end nødvendigt, bør den dataansvarlige indføre tidsfrister for sletning eller periodisk gennemgang. Der bør træffes enhver rimelig foranstaltning for at sikre, at personoplysninger, som er urigtige, berigtiges eller slettes. Personoplysninger bør behandles på en måde, der garanterer tilstrækkelig sikkerhed og fortrolighed, herunder for at hindre uautoriseret adgang til eller anvendelse af personoplysninger eller af det udstyr, der anvendes til behandlingen.

| (40) | For at behandling kan betragtes som lovlig, bør personoplysninger behandles på grundlag af den registreredes samtykke eller et andet legitimt grundlag, der er fastlagt ved lov enten i denne forordning eller i anden EU-ret eller i medlemsstaternes nationale ret, som omhandlet i denne forordning, herunder når det er nødvendigt for overholdelse af de retlige forpligtelser, som påhviler den dataansvarlige, eller behovet for opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til foranstaltninger, der træffes på dennes anmodning forud for indgåelse af en sådan kontrakt. |
| --- | --- |

(40)

For at behandling kan betragtes som lovlig, bør personoplysninger behandles på grundlag af den registreredes samtykke eller et andet legitimt grundlag, der er fastlagt ved lov enten i denne forordning eller i anden EU-ret eller i medlemsstaternes nationale ret, som omhandlet i denne forordning, herunder når det er nødvendigt for overholdelse af de retlige forpligtelser, som påhviler den dataansvarlige, eller behovet for opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til foranstaltninger, der træffes på dennes anmodning forud for indgåelse af en sådan kontrakt.

| (41) | Når denne forordning henviser til et retsgrundlag eller en lovgivningsmæssig foranstaltning, kræver det ikke nødvendigvis en lov, der er vedtaget af et parlament, med forbehold for krav i henhold til den forfatningsmæssige orden i den pågældende medlemsstat. Et sådant retsgrundlag eller en sådan lovgivningsmæssig foranstaltning bør imidlertid være klar(t) og præcis(t), og anvendelse heraf bør være forudsigelig for personer, der er omfattet af dets/dens anvendelsesområde, jf. retspraksis fra Den Europæiske Unions Domstol (»Domstolen«) og Den Europæiske Menneskerettighedsdomstol. |
| --- | --- |

(41)

Når denne forordning henviser til et retsgrundlag eller en lovgivningsmæssig foranstaltning, kræver det ikke nødvendigvis en lov, der er vedtaget af et parlament, med forbehold for krav i henhold til den forfatningsmæssige orden i den pågældende medlemsstat. Et sådant retsgrundlag eller en sådan lovgivningsmæssig foranstaltning bør imidlertid være klar(t) og præcis(t), og anvendelse heraf bør være forudsigelig for personer, der er omfattet af dets/dens anvendelsesområde, jf. retspraksis fra Den Europæiske Unions Domstol (»Domstolen«) og Den Europæiske Menneskerettighedsdomstol.

| (42) | Hvis behandling er baseret på den registreredes samtykke, bør den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandlingen. Navnlig i forbindelse med skriftlige erklæringer om andre forhold bør garantier sikre, at den registrerede er bekendt med, at og i hvilket omfang der er givet samtykke. I overensstemmelse med Rådets direktiv 93/13/EØF (10) bør der stilles en samtykkeerklæring udformet af den dataansvarlige til rådighed i en letforståelig og lettilgængelig form og i et klart og enkelt sprog, og den bør ikke indeholde urimelige vilkår. For at sikre, at samtykket er informeret, bør den registrerede som minimum være bekendt med den dataansvarliges identitet og formålene med den behandling, som personoplysningerne skal bruges til. Samtykke bør ikke anses for at være givet frivilligt, hvis den registrerede ikke har et reelt eller frit valg eller ikke kan afvise eller tilbagetrække sit samtykke, uden at det er til skade for den pågældende. |
| --- | --- |

(42)

Hvis behandling er baseret på den registreredes samtykke, bør den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandlingen. Navnlig i forbindelse med skriftlige erklæringer om andre forhold bør garantier sikre, at den registrerede er bekendt med, at og i hvilket omfang der er givet samtykke. I overensstemmelse med Rådets direktiv 93/13/EØF (10) bør der stilles en samtykkeerklæring udformet af den dataansvarlige til rådighed i en letforståelig og lettilgængelig form og i et klart og enkelt sprog, og den bør ikke indeholde urimelige vilkår. For at sikre, at samtykket er informeret, bør den registrerede som minimum være bekendt med den dataansvarliges identitet og formålene med den behandling, som personoplysningerne skal bruges til. Samtykke bør ikke anses for at være givet frivilligt, hvis den registrerede ikke har et reelt eller frit valg eller ikke kan afvise eller tilbagetrække sit samtykke, uden at det er til skade for den pågældende.

| (43) | Med henblik på at sikre, at der frivilligt er givet samtykke, bør samtykke ikke udgøre et gyldigt retsgrundlag for behandling af personoplysninger i et specifikt tilfælde, hvis der er en klar skævhed mellem den registrerede og den dataansvarlige, navnlig hvis den dataansvarlige er en offentlig myndighed, og det derfor er usandsynligt, at samtykket er givet frivilligt under hensyntagen til alle de omstændigheder, der kendetegner den specifikke situation. Samtykke formodes ikke at være givet frivilligt, hvis det ikke er muligt at give særskilt samtykke til forskellige behandlingsaktiviteter vedrørende personoplysninger, selv om det er hensigtsmæssigt i det enkelte tilfælde, eller hvis opfyldelsen af en kontrakt, herunder ydelsen af en tjeneste, gøres afhængig af samtykke, selv om et sådant samtykke ikke er nødvendigt for dennes opfyldelse. |
| --- | --- |

(43)

Med henblik på at sikre, at der frivilligt er givet samtykke, bør samtykke ikke udgøre et gyldigt retsgrundlag for behandling af personoplysninger i et specifikt tilfælde, hvis der er en klar skævhed mellem den registrerede og den dataansvarlige, navnlig hvis den dataansvarlige er en offentlig myndighed, og det derfor er usandsynligt, at samtykket er givet frivilligt under hensyntagen til alle de omstændigheder, der kendetegner den specifikke situation. Samtykke formodes ikke at være givet frivilligt, hvis det ikke er muligt at give særskilt samtykke til forskellige behandlingsaktiviteter vedrørende personoplysninger, selv om det er hensigtsmæssigt i det enkelte tilfælde, eller hvis opfyldelsen af en kontrakt, herunder ydelsen af en tjeneste, gøres afhængig af samtykke, selv om et sådant samtykke ikke er nødvendigt for dennes opfyldelse.

| (44) | Behandling bør anses for lovlig, når den er nødvendig i forbindelse med en kontrakt eller en påtænkt indgåelse af en kontrakt. |
| --- | --- |

(44)

Behandling bør anses for lovlig, når den er nødvendig i forbindelse med en kontrakt eller en påtænkt indgåelse af en kontrakt.

| (45) | Hvis behandling foretages i overensstemmelse med en retlig forpligtelse, som påhviler den dataansvarlige, eller hvis behandling er nødvendig for at udføre en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, bør behandlingen have retsgrundlag i EU-retten eller medlemsstaternes nationale ret. Denne forordning indebærer ikke, at der kræves en specifik lov til hver enkelt behandling. Det kan være tilstrækkeligt med en lov som grundlag for adskillige databehandlingsaktiviteter, som baseres på en retlig forpligtelse, som påhviler den dataansvarlige, eller hvis behandling er nødvendig for at udføre en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse. Det bør også henhøre under EU-retten eller medlemsstaternes nationale ret at fastlægge formålet med behandlingen. Endvidere kan dette retsgrundlag præcisere denne forordnings generelle betingelser for lovlig behandling af personoplysninger og nærmere præcisere, hvem den dataansvarlige er, hvilken type personoplysninger der skal behandles, de berørte registrerede, hvilke enheder personoplysningerne kan videregives til, formålsbegrænsninger, opbevaringsperiode og andre foranstaltninger til at sikre lovlig og rimelig behandling. Det bør ligeledes henhøre under EU-retten eller medlemsstaternes nationale ret at afgøre, om den dataansvarlige, der udfører en opgave i samfundets interesse eller i forbindelse med offentlig myndighedsudøvelse, skal være en offentlig myndighed eller en anden fysisk eller juridisk person, der er omfattet af offentlig ret, eller, hvis dette er i samfundets interesse, herunder sundhedsformål, såsom folkesundhed og social sikring samt forvaltning af sundhedsydelser, af privatret som f.eks. en erhvervssammenslutning. |
| --- | --- |

(45)

Hvis behandling foretages i overensstemmelse med en retlig forpligtelse, som påhviler den dataansvarlige, eller hvis behandling er nødvendig for at udføre en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, bør behandlingen have retsgrundlag i EU-retten eller medlemsstaternes nationale ret. Denne forordning indebærer ikke, at der kræves en specifik lov til hver enkelt behandling. Det kan være tilstrækkeligt med en lov som grundlag for adskillige databehandlingsaktiviteter, som baseres på en retlig forpligtelse, som påhviler den dataansvarlige, eller hvis behandling er nødvendig for at udføre en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse. Det bør også henhøre under EU-retten eller medlemsstaternes nationale ret at fastlægge formålet med behandlingen. Endvidere kan dette retsgrundlag præcisere denne forordnings generelle betingelser for lovlig behandling af personoplysninger og nærmere præcisere, hvem den dataansvarlige er, hvilken type personoplysninger der skal behandles, de berørte registrerede, hvilke enheder personoplysningerne kan videregives til, formålsbegrænsninger, opbevaringsperiode og andre foranstaltninger til at sikre lovlig og rimelig behandling. Det bør ligeledes henhøre under EU-retten eller medlemsstaternes nationale ret at afgøre, om den dataansvarlige, der udfører en opgave i samfundets interesse eller i forbindelse med offentlig myndighedsudøvelse, skal være en offentlig myndighed eller en anden fysisk eller juridisk person, der er omfattet af offentlig ret, eller, hvis dette er i samfundets interesse, herunder sundhedsformål, såsom folkesundhed og social sikring samt forvaltning af sundhedsydelser, af privatret som f.eks. en erhvervssammenslutning.

| (46) | Behandling af personoplysninger, der er nødvendig for at beskytte et hensyn af fundamental betydning for den registreredes eller en anden fysisk persons liv, bør ligeledes anses for lovlig. Behandling af personoplysninger på grundlag af en anden fysisk persons vitale interesser bør i princippet kun finde sted, hvis behandlingen tydeligvis ikke kan baseres på et andet retsgrundlag. Nogle typer behandling kan tjene både vigtige samfundsmæssige interesser og den registreredes vitale interesser, f.eks. når behandling er nødvendig af humanitære årsager, herunder med henblik på at overvåge epidemier og deres spredning eller i humanitære nødsituationer, navnlig i tilfælde af naturkatastrofer og menneskeskabte katastrofer. |
| --- | --- |

(46)

Behandling af personoplysninger, der er nødvendig for at beskytte et hensyn af fundamental betydning for den registreredes eller en anden fysisk persons liv, bør ligeledes anses for lovlig. Behandling af personoplysninger på grundlag af en anden fysisk persons vitale interesser bør i princippet kun finde sted, hvis behandlingen tydeligvis ikke kan baseres på et andet retsgrundlag. Nogle typer behandling kan tjene både vigtige samfundsmæssige interesser og den registreredes vitale interesser, f.eks. når behandling er nødvendig af humanitære årsager, herunder med henblik på at overvåge epidemier og deres spredning eller i humanitære nødsituationer, navnlig i tilfælde af naturkatastrofer og menneskeskabte katastrofer.

| (47) | En dataansvarligs legitime interesser, herunder en dataansvarlig, som personoplysninger kan videregives til, eller en tredjemands legitime interesser kan udgøre et retsgrundlag for behandling, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder går forud herfor under hensyntagen til registreredes rimelige forventninger på grundlag af deres forhold til den dataansvarlige. For eksempel kan der foreligge sådanne legitime interesser, når der er et relevant og passende forhold mellem den registrerede og den dataansvarlige, f.eks. hvis den registrerede er kunde hos eller gør tjeneste under den dataansvarlige. I alle tilfælde kræver tilstedeværelsen af en legitim interesse en nøje vurdering, herunder af, om en registreret på tidspunktet for og i forbindelse med indsamling af personoplysninger med rimelighed kan forvente, at behandling med dette formål kan finde sted. Den registreredes interesser og grundlæggende rettigheder kan navnlig gå forud for den dataansvarliges interesser, hvis personoplysninger behandles under omstændigheder, hvor registrerede ikke med rimelighed forventer viderebehandling. Eftersom det er op til lovgiver ved lov at fastsætte retsgrundlaget for offentlige myndigheders behandling af personoplysninger, bør dette retsgrundlag ikke gælde for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver. Behandling af personoplysninger, der er strengt nødvendig for at forebygge svig, udgør også en legitim interesse for den berørte dataansvarlige. Behandling af personoplysninger til direkte markedsføring kan anses for at være foretaget i en legitim interesse. |
| --- | --- |

(47)

En dataansvarligs legitime interesser, herunder en dataansvarlig, som personoplysninger kan videregives til, eller en tredjemands legitime interesser kan udgøre et retsgrundlag for behandling, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder går forud herfor under hensyntagen til registreredes rimelige forventninger på grundlag af deres forhold til den dataansvarlige. For eksempel kan der foreligge sådanne legitime interesser, når der er et relevant og passende forhold mellem den registrerede og den dataansvarlige, f.eks. hvis den registrerede er kunde hos eller gør tjeneste under den dataansvarlige. I alle tilfælde kræver tilstedeværelsen af en legitim interesse en nøje vurdering, herunder af, om en registreret på tidspunktet for og i forbindelse med indsamling af personoplysninger med rimelighed kan forvente, at behandling med dette formål kan finde sted. Den registreredes interesser og grundlæggende rettigheder kan navnlig gå forud for den dataansvarliges interesser, hvis personoplysninger behandles under omstændigheder, hvor registrerede ikke med rimelighed forventer viderebehandling. Eftersom det er op til lovgiver ved lov at fastsætte retsgrundlaget for offentlige myndigheders behandling af personoplysninger, bør dette retsgrundlag ikke gælde for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver. Behandling af personoplysninger, der er strengt nødvendig for at forebygge svig, udgør også en legitim interesse for den berørte dataansvarlige. Behandling af personoplysninger til direkte markedsføring kan anses for at være foretaget i en legitim interesse.

| (48) | Dataansvarlige, der indgår i en koncern eller institutioner, som er tilknyttet et centralt organ, kan have en legitim interesse i at videregive personoplysninger inden for koncernen til interne administrative formål, herunder behandling af kunders eller medarbejderes personoplysninger. De generelle principper for overførsler af personoplysninger inden for en koncern til en virksomhed i et tredjeland forbliver uændrede. |
| --- | --- |

(48)

Dataansvarlige, der indgår i en koncern eller institutioner, som er tilknyttet et centralt organ, kan have en legitim interesse i at videregive personoplysninger inden for koncernen til interne administrative formål, herunder behandling af kunders eller medarbejderes personoplysninger. De generelle principper for overførsler af personoplysninger inden for en koncern til en virksomhed i et tredjeland forbliver uændrede.

| (49) | Behandling af personoplysninger i det omfang, det er strengt nødvendigt og forholdsmæssigt for at sikre net- og informationssikkerhed, dvs. et nets eller et informationssystems evne til på et givet sikkerhedsniveau at kunne modstå utilsigtede hændelser eller ulovlige eller ondsindede handlinger, som kompromitterer tilgængeligheden, autenticiteten, integriteten og fortroligheden af opbevarede eller transmitterede personoplysninger, og sikkerheden ved hermed forbundne tjenester udbudt af eller tilgængelige via sådanne net og systemer, der foretages af offentlige myndigheder, Computer Emergency Response Teams (CERT'er), Computer Security Incident Response Teams (CSIRT'er), udbydere af elektroniske kommunikationsnet og -tjenester og udbydere af sikkerhedsteknologier og -tjenester, udgør en legitim interesse for den berørte dataansvarlige. Behandlingen kan f.eks. have til formål at hindre uautoriseret adgang til elektroniske kommunikationsnet, distribution af ondsindet kode, standsning af overbelastningsangreb (»denial of service«-angreb) og beskadigelser af computersystemer og elektroniske kommunikationssystemer. |
| --- | --- |

(49)

Behandling af personoplysninger i det omfang, det er strengt nødvendigt og forholdsmæssigt for at sikre net- og informationssikkerhed, dvs. et nets eller et informationssystems evne til på et givet sikkerhedsniveau at kunne modstå utilsigtede hændelser eller ulovlige eller ondsindede handlinger, som kompromitterer tilgængeligheden, autenticiteten, integriteten og fortroligheden af opbevarede eller transmitterede personoplysninger, og sikkerheden ved hermed forbundne tjenester udbudt af eller tilgængelige via sådanne net og systemer, der foretages af offentlige myndigheder, Computer Emergency Response Teams (CERT'er), Computer Security Incident Response Teams (CSIRT'er), udbydere af elektroniske kommunikationsnet og -tjenester og udbydere af sikkerhedsteknologier og -tjenester, udgør en legitim interesse for den berørte dataansvarlige. Behandlingen kan f.eks. have til formål at hindre uautoriseret adgang til elektroniske kommunikationsnet, distribution af ondsindet kode, standsning af overbelastningsangreb (»denial of service«-angreb) og beskadigelser af computersystemer og elektroniske kommunikationssystemer.

| (50) | Behandling af personoplysninger til andre formål end de formål, som personoplysningerne oprindelig blev indsamlet til, bør kun tillades, hvis behandlingen er forenelig med de formål, som personoplysningerne oprindelig blev indsamlet til. I dette tilfælde kræves der ikke andet retsgrundlag end det, der begrundede indsamlingen af personoplysningerne. Hvis behandling er nødvendig for at udføre en opgave i samfundets interesse eller henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt, kan EU-retten eller medlemsstaternes nationale ret fastsætte og præcisere de opgaver og formål, hvortil det bør være foreneligt og lovligt at foretage viderebehandling. Viderebehandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål bør anses for at være forenelige lovlige behandlingsaktiviteter. Retsgrundlaget i EU-retten eller medlemsstaternes nationale ret for behandling af personoplysninger kan også udgøre et retsgrundlag for viderebehandling. For at fastslå, om et formål med viderebehandling er foreneligt med det formål, som personoplysningerne oprindelig blev indsamlet til, bør den dataansvarlige efter at have opfyldt alle kravene til lovlighed af den oprindelige behandling bl.a. tage hensyn til enhver forbindelse mellem disse formål og formålet med den påtænkte viderebehandling, den sammenhæng, som personoplysningerne er blevet indsamlet i, navnlig de registreredes rimelige forventninger til den videre anvendelse heraf på grundlag af deres forhold til den dataansvarlige, personoplysningernes art, konsekvenserne af den påtænkte viderebehandling for de registrerede og tilstedeværelse af fornødne garantier i forbindelse med både de oprindelige og de påtænkte yderligere behandlingsaktiviteter.
  Når den registrerede har givet samtykke, eller behandlingen er baseret på EU-retten eller medlemsstaternes nationale ret, som udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund med henblik på at beskytte navnlig vigtige målsætninger af generel samfundsinteresse, bør den dataansvarlige kunne viderebehandle personoplysningerne uafhængigt af formålenes forenelighed. Under alle omstændigheder bør de principper, der fastsættes i denne forordning, og navnlig information til den registrerede om disse andre formål og om vedkommendes rettigheder, herunder retten til at gøre indsigelse, sikres. Hvis den dataansvarlige påviser mulige strafbare handlinger eller trusler mod den offentlige sikkerhed og videresender de relevante personoplysninger i enkelte eller flere sager, der vedrører den samme strafbare handling eller trusler mod den offentlige sikkerhed, til en kompetent myndighed, bør det anses som værende i den dataansvarliges legitime interesse. En sådan videresendelse i den dataansvarliges legitime interesse eller viderebehandling af personoplysninger bør forbydes, hvis behandlingen krænker en retlig eller anden bindende tavshedspligt. |
| --- | --- |

(50)

Behandling af personoplysninger til andre formål end de formål, som personoplysningerne oprindelig blev indsamlet til, bør kun tillades, hvis behandlingen er forenelig med de formål, som personoplysningerne oprindelig blev indsamlet til. I dette tilfælde kræves der ikke andet retsgrundlag end det, der begrundede indsamlingen af personoplysningerne. Hvis behandling er nødvendig for at udføre en opgave i samfundets interesse eller henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt, kan EU-retten eller medlemsstaternes nationale ret fastsætte og præcisere de opgaver og formål, hvortil det bør være foreneligt og lovligt at foretage viderebehandling. Viderebehandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål bør anses for at være forenelige lovlige behandlingsaktiviteter. Retsgrundlaget i EU-retten eller medlemsstaternes nationale ret for behandling af personoplysninger kan også udgøre et retsgrundlag for viderebehandling. For at fastslå, om et formål med viderebehandling er foreneligt med det formål, som personoplysningerne oprindelig blev indsamlet til, bør den dataansvarlige efter at have opfyldt alle kravene til lovlighed af den oprindelige behandling bl.a. tage hensyn til enhver forbindelse mellem disse formål og formålet med den påtænkte viderebehandling, den sammenhæng, som personoplysningerne er blevet indsamlet i, navnlig de registreredes rimelige forventninger til den videre anvendelse heraf på grundlag af deres forhold til den dataansvarlige, personoplysningernes art, konsekvenserne af den påtænkte viderebehandling for de registrerede og tilstedeværelse af fornødne garantier i forbindelse med både de oprindelige og de påtænkte yderligere behandlingsaktiviteter.

Når den registrerede har givet samtykke, eller behandlingen er baseret på EU-retten eller medlemsstaternes nationale ret, som udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund med henblik på at beskytte navnlig vigtige målsætninger af generel samfundsinteresse, bør den dataansvarlige kunne viderebehandle personoplysningerne uafhængigt af formålenes forenelighed. Under alle omstændigheder bør de principper, der fastsættes i denne forordning, og navnlig information til den registrerede om disse andre formål og om vedkommendes rettigheder, herunder retten til at gøre indsigelse, sikres. Hvis den dataansvarlige påviser mulige strafbare handlinger eller trusler mod den offentlige sikkerhed og videresender de relevante personoplysninger i enkelte eller flere sager, der vedrører den samme strafbare handling eller trusler mod den offentlige sikkerhed, til en kompetent myndighed, bør det anses som værende i den dataansvarliges legitime interesse. En sådan videresendelse i den dataansvarliges legitime interesse eller viderebehandling af personoplysninger bør forbydes, hvis behandlingen krænker en retlig eller anden bindende tavshedspligt.

| (51) | Personoplysninger, der i kraft af deres karakter er særligt følsomme i forhold til grundlæggende rettigheder og frihedsrettigheder, bør nyde specifik beskyttelse, da sammenhængen for behandling af dem kan indebære betydelige risici for grundlæggende rettigheder og frihedsrettigheder. Disse personoplysninger bør omfatte personoplysninger om race eller etnisk oprindelse, idet anvendelsen af udtrykket »race« i denne forordning ikke betyder, at Unionen accepterer teorier, der søger at fastslå, at der findes forskellige menneskeracer. Behandling af fotografier bør ikke systematisk anses for at være behandling af særlige kategorier af personoplysninger, eftersom de kun vil være omfattet af definitionen af biometriske data, når de behandles ved en specifik teknisk fremgangsmåde, der muliggør entydig identifikation eller autentifikation af en fysisk person. Sådanne personoplysninger bør ikke behandles, medmindre behandling er tilladt i specifikke tilfælde, der er fastsat i denne forordning, under hensyntagen til at medlemsstaternes nationale ret kan fastsætte specifikke bestemmelser om databeskyttelse for at tilpasse anvendelsen af reglerne i denne forordning med henblik på overholdelse af en retlig forpligtelse eller udførelse af en opgave i samfundets interesse eller henhørende under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Foruden de specifikke krav til sådan behandling bør de generelle principper og andre regler i denne forordning finde anvendelse, navnlig for så vidt angår betingelserne for lovlig behandling. Der bør udtrykkelig gives mulighed for undtagelser fra det generelle forbud mod behandling af sådanne særlige kategorier af personoplysninger, bl.a. hvis den registrerede giver sit udtrykkelige samtykke eller for så vidt angår specifikke behov, navnlig hvis behandling foretages i forbindelse med visse sammenslutningers eller stiftelsers legitime aktiviteter, hvis formål er at muliggøre udøvelse af grundlæggende frihedsrettigheder. |
| --- | --- |

(51)

Personoplysninger, der i kraft af deres karakter er særligt følsomme i forhold til grundlæggende rettigheder og frihedsrettigheder, bør nyde specifik beskyttelse, da sammenhængen for behandling af dem kan indebære betydelige risici for grundlæggende rettigheder og frihedsrettigheder. Disse personoplysninger bør omfatte personoplysninger om race eller etnisk oprindelse, idet anvendelsen af udtrykket »race« i denne forordning ikke betyder, at Unionen accepterer teorier, der søger at fastslå, at der findes forskellige menneskeracer. Behandling af fotografier bør ikke systematisk anses for at være behandling af særlige kategorier af personoplysninger, eftersom de kun vil være omfattet af definitionen af biometriske data, når de behandles ved en specifik teknisk fremgangsmåde, der muliggør entydig identifikation eller autentifikation af en fysisk person. Sådanne personoplysninger bør ikke behandles, medmindre behandling er tilladt i specifikke tilfælde, der er fastsat i denne forordning, under hensyntagen til at medlemsstaternes nationale ret kan fastsætte specifikke bestemmelser om databeskyttelse for at tilpasse anvendelsen af reglerne i denne forordning med henblik på overholdelse af en retlig forpligtelse eller udførelse af en opgave i samfundets interesse eller henhørende under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Foruden de specifikke krav til sådan behandling bør de generelle principper og andre regler i denne forordning finde anvendelse, navnlig for så vidt angår betingelserne for lovlig behandling. Der bør udtrykkelig gives mulighed for undtagelser fra det generelle forbud mod behandling af sådanne særlige kategorier af personoplysninger, bl.a. hvis den registrerede giver sit udtrykkelige samtykke eller for så vidt angår specifikke behov, navnlig hvis behandling foretages i forbindelse med visse sammenslutningers eller stiftelsers legitime aktiviteter, hvis formål er at muliggøre udøvelse af grundlæggende frihedsrettigheder.

| (52) | Der bør også gives mulighed for at fravige forbuddet mod at behandle særlige kategorier af personoplysninger, når det er fastsat i EU-retten eller medlemsstaternes nationale ret og er omfattet af de fornødne garantier, således at personoplysninger og andre grundlæggende rettigheder beskyttes, hvis dette er i samfundets interesse, navnlig behandling af personoplysninger inden for ansættelsesret, socialret, herunder pensioner og med henblik på sundhedssikkerhed, overvågning og varsling, forebyggelse eller kontrol af overførbare sygdomme og andre alvorlige trusler mod sundheden. En sådan fravigelse kan ske til sundhedsformål, herunder folkesundhed og forvaltning af sundhedsydelser, især for at sikre kvaliteten og omkostningseffektiviteten af de procedurer, der anvendes til afregning i forbindelse med ydelser og tjenester inden for sygesikringsordninger, eller til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål. En fravigelse bør desuden gøre det muligt at behandle sådanne personoplysninger, hvis det er nødvendigt, for at retskrav kan fastslås, gøres gældende eller forsvares, uanset om det er i forbindelse med en retssag eller en administrativ eller udenretslig procedure. |
| --- | --- |

(52)

Der bør også gives mulighed for at fravige forbuddet mod at behandle særlige kategorier af personoplysninger, når det er fastsat i EU-retten eller medlemsstaternes nationale ret og er omfattet af de fornødne garantier, således at personoplysninger og andre grundlæggende rettigheder beskyttes, hvis dette er i samfundets interesse, navnlig behandling af personoplysninger inden for ansættelsesret, socialret, herunder pensioner og med henblik på sundhedssikkerhed, overvågning og varsling, forebyggelse eller kontrol af overførbare sygdomme og andre alvorlige trusler mod sundheden. En sådan fravigelse kan ske til sundhedsformål, herunder folkesundhed og forvaltning af sundhedsydelser, især for at sikre kvaliteten og omkostningseffektiviteten af de procedurer, der anvendes til afregning i forbindelse med ydelser og tjenester inden for sygesikringsordninger, eller til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål. En fravigelse bør desuden gøre det muligt at behandle sådanne personoplysninger, hvis det er nødvendigt, for at retskrav kan fastslås, gøres gældende eller forsvares, uanset om det er i forbindelse med en retssag eller en administrativ eller udenretslig procedure.

| (53) | Særlige kategorier af personoplysninger, som bør nyde højere beskyttelse, bør kun behandles til sundhedsmæssige formål, når det er nødvendigt for at opfylde disse formål til gavn for fysiske personer og samfundet som helhed, navnlig i forbindelse med forvaltning af sundheds- eller socialydelser og -systemer, herunder administrationens og centrale nationale sundhedsmyndigheders behandling af sådanne oplysninger med henblik på kvalitetskontrol, ledelsesinformation og det generelle nationale og lokale tilsyn med sundheds- eller socialsystemet, og for at sikre kontinuitet inden for sundheds- eller socialforsorg og sundhedsydelser på tværs af grænserne eller med henblik på sundhedssikkerhed, overvågning og varsling eller til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål baseret på EU-retten eller medlemsstaternes nationale ret, og som skal opfylde et formål af offentlig interesse, samt studier, der foretages i samfundets interesse på folkesundhedsområdet. Denne forordning bør derfor fastsætte harmoniserede betingelser for behandling af særlige kategorier af personoplysninger om helbredsforhold for så vidt angår specifikke behov, navnlig hvis behandlingen af sådanne oplysninger foretages til visse sundhedsmæssige formål af personer, der er underlagt tavshedspligt. EU-retten eller medlemsstaternes nationale ret bør omfatte specifikke og passende foranstaltninger til at beskytte fysiske personers grundlæggende rettigheder og personoplysninger. Medlemsstaterne bør kunne opretholde eller indføre yderligere betingelser, herunder begrænsninger, for behandling af genetiske data, biometriske data eller helbredsoplysninger. Dette bør dog ikke hæmme den frie udveksling af personoplysninger i Unionen, når disse betingelser finder anvendelse på grænseoverskridende behandling af sådanne oplysninger. |
| --- | --- |

(53)

Særlige kategorier af personoplysninger, som bør nyde højere beskyttelse, bør kun behandles til sundhedsmæssige formål, når det er nødvendigt for at opfylde disse formål til gavn for fysiske personer og samfundet som helhed, navnlig i forbindelse med forvaltning af sundheds- eller socialydelser og -systemer, herunder administrationens og centrale nationale sundhedsmyndigheders behandling af sådanne oplysninger med henblik på kvalitetskontrol, ledelsesinformation og det generelle nationale og lokale tilsyn med sundheds- eller socialsystemet, og for at sikre kontinuitet inden for sundheds- eller socialforsorg og sundhedsydelser på tværs af grænserne eller med henblik på sundhedssikkerhed, overvågning og varsling eller til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål baseret på EU-retten eller medlemsstaternes nationale ret, og som skal opfylde et formål af offentlig interesse, samt studier, der foretages i samfundets interesse på folkesundhedsområdet. Denne forordning bør derfor fastsætte harmoniserede betingelser for behandling af særlige kategorier af personoplysninger om helbredsforhold for så vidt angår specifikke behov, navnlig hvis behandlingen af sådanne oplysninger foretages til visse sundhedsmæssige formål af personer, der er underlagt tavshedspligt. EU-retten eller medlemsstaternes nationale ret bør omfatte specifikke og passende foranstaltninger til at beskytte fysiske personers grundlæggende rettigheder og personoplysninger. Medlemsstaterne bør kunne opretholde eller indføre yderligere betingelser, herunder begrænsninger, for behandling af genetiske data, biometriske data eller helbredsoplysninger. Dette bør dog ikke hæmme den frie udveksling af personoplysninger i Unionen, når disse betingelser finder anvendelse på grænseoverskridende behandling af sådanne oplysninger.

| (54) | Behandling af særlige kategorier af personoplysninger kan være nødvendig af hensyn til samfundsinteresser hvad angår folkesundhed uden den registreredes samtykke. En sådan behandling bør være underlagt passende og specifikke foranstaltninger med henblik på at beskytte fysiske personers rettigheder og frihedsrettigheder. I denne sammenhæng fortolkes »folkesundhed« som defineret i Europa-Parlamentets og Rådets forordning (EF) nr. 1338/2008 (11), dvs. alle elementer vedrørende sundhed, nemlig helbredstilstand, herunder sygelighed og invaliditet, determinanter med en indvirkning på helbredstilstanden, behov for sundhedspleje, ressourcer tildelt sundhedsplejen, ydelse af og almen adgang til sundhedspleje, udgifter til og finansiering af sundhedspleje samt dødsårsager. Sådan behandling af helbredsoplysninger af hensyn til samfundsinteresser bør ikke medføre, at tredjemænd såsom arbejdsgivere eller forsikringsselskaber og pengeinstitutter behandler personoplysninger til andre formål. |
| --- | --- |

(54)

Behandling af særlige kategorier af personoplysninger kan være nødvendig af hensyn til samfundsinteresser hvad angår folkesundhed uden den registreredes samtykke. En sådan behandling bør være underlagt passende og specifikke foranstaltninger med henblik på at beskytte fysiske personers rettigheder og frihedsrettigheder. I denne sammenhæng fortolkes »folkesundhed« som defineret i Europa-Parlamentets og Rådets forordning (EF) nr. 1338/2008 (11), dvs. alle elementer vedrørende sundhed, nemlig helbredstilstand, herunder sygelighed og invaliditet, determinanter med en indvirkning på helbredstilstanden, behov for sundhedspleje, ressourcer tildelt sundhedsplejen, ydelse af og almen adgang til sundhedspleje, udgifter til og finansiering af sundhedspleje samt dødsårsager. Sådan behandling af helbredsoplysninger af hensyn til samfundsinteresser bør ikke medføre, at tredjemænd såsom arbejdsgivere eller forsikringsselskaber og pengeinstitutter behandler personoplysninger til andre formål.

| (55) | Offentlige myndigheders behandling af personoplysninger med henblik på at forfølge officielt anerkendte religiøse sammenslutningers målsætninger, der er fastsat ved forfatningsretten eller ved folkeretten, foretages også i samfundets interesse. |
| --- | --- |

(55)

Offentlige myndigheders behandling af personoplysninger med henblik på at forfølge officielt anerkendte religiøse sammenslutningers målsætninger, der er fastsat ved forfatningsretten eller ved folkeretten, foretages også i samfundets interesse.

| (56) | Hvis det i forbindelse med afholdelse af valg i en medlemsstat er nødvendigt, for at det demokratiske system kan fungere, at politiske partier indsamler personoplysninger om enkeltpersoners politiske holdninger, kan behandling af sådanne oplysninger tillades af hensyn til varetagelsen af samfundsinteresser, såfremt fornødne garantier er etableret. |
| --- | --- |

(56)

Hvis det i forbindelse med afholdelse af valg i en medlemsstat er nødvendigt, for at det demokratiske system kan fungere, at politiske partier indsamler personoplysninger om enkeltpersoners politiske holdninger, kan behandling af sådanne oplysninger tillades af hensyn til varetagelsen af samfundsinteresser, såfremt fornødne garantier er etableret.

| (57) | Hvis de personoplysninger, der behandles af en dataansvarlig, ikke sætter den dataansvarlige i stand til at identificere en fysisk person, bør den dataansvarlige ikke være forpligtet til at indhente yderligere oplysninger for at identificere den registrerede udelukkende med det formål at overholde bestemmelserne i denne forordning. Den dataansvarlige bør dog ikke nægte at tage imod yderligere oplysninger fra den registrerede, som han eller hun giver med henblik på udøvelsen af sine rettigheder. Identifikation bør omfatte digital identifikation af en registreret, for eksempel gennem en autentifikationsmekanisme, såsom de samme legitimationsoplysninger, som den registrerede anvender til at logge på den onlinetjeneste, der tilbydes af den dataansvarlige. |
| --- | --- |

(57)

Hvis de personoplysninger, der behandles af en dataansvarlig, ikke sætter den dataansvarlige i stand til at identificere en fysisk person, bør den dataansvarlige ikke være forpligtet til at indhente yderligere oplysninger for at identificere den registrerede udelukkende med det formål at overholde bestemmelserne i denne forordning. Den dataansvarlige bør dog ikke nægte at tage imod yderligere oplysninger fra den registrerede, som han eller hun giver med henblik på udøvelsen af sine rettigheder. Identifikation bør omfatte digital identifikation af en registreret, for eksempel gennem en autentifikationsmekanisme, såsom de samme legitimationsoplysninger, som den registrerede anvender til at logge på den onlinetjeneste, der tilbydes af den dataansvarlige.

| (58) | Princippet om gennemsigtighed kræver, at enhver oplysning, som er rettet til offentligheden eller den registrerede, er kortfattet, lettilgængelig og letforståelig, og at der benyttes et klart og enkelt sprog og endvidere, hvis det er passende, visualisering. Sådanne oplysninger kan gøres tilgængelige i elektronisk form, f.eks. når de er rettet mod offentligheden, via et websted. Dette er især relevant i situationer, hvor den hastige vækst i antallet af aktører og den anvendte teknologis kompleksitet gør det vanskeligt for den registrerede at vide og forstå, om, af hvem og til hvilket formål der indsamles personoplysninger om vedkommende, såsom i forbindelse med annoncering på internettet. Eftersom børn bør nyde særlig beskyttelse, bør alle oplysninger og meddelelser, hvis behandling er rettet mod et barn, være i et så klart og enkelt sprog, at et barn let kan forstå dem. |
| --- | --- |

(58)

Princippet om gennemsigtighed kræver, at enhver oplysning, som er rettet til offentligheden eller den registrerede, er kortfattet, lettilgængelig og letforståelig, og at der benyttes et klart og enkelt sprog og endvidere, hvis det er passende, visualisering. Sådanne oplysninger kan gøres tilgængelige i elektronisk form, f.eks. når de er rettet mod offentligheden, via et websted. Dette er især relevant i situationer, hvor den hastige vækst i antallet af aktører og den anvendte teknologis kompleksitet gør det vanskeligt for den registrerede at vide og forstå, om, af hvem og til hvilket formål der indsamles personoplysninger om vedkommende, såsom i forbindelse med annoncering på internettet. Eftersom børn bør nyde særlig beskyttelse, bør alle oplysninger og meddelelser, hvis behandling er rettet mod et barn, være i et så klart og enkelt sprog, at et barn let kan forstå dem.

| (59) | Der bør fastsættes nærmere regler, som kan lette udøvelsen af de registreredes rettigheder i henhold til denne forordning, herunder mekanismer til at anmode om og i givet fald opnå navnlig gratis indsigt i og berigtigelse eller sletning af personoplysninger og udøvelsen af retten til indsigelse. Den dataansvarlige bør også give mulighed for elektroniske anmodninger, navnlig hvis personoplysninger behandles elektronisk. Den dataansvarlige bør være forpligtet til at besvare sådanne anmodninger fra en registreret uden unødig forsinkelse og senest inden for en måned og begrunde det, hvis vedkommende ikke agter at imødekomme sådanne anmodninger. |
| --- | --- |

(59)

Der bør fastsættes nærmere regler, som kan lette udøvelsen af de registreredes rettigheder i henhold til denne forordning, herunder mekanismer til at anmode om og i givet fald opnå navnlig gratis indsigt i og berigtigelse eller sletning af personoplysninger og udøvelsen af retten til indsigelse. Den dataansvarlige bør også give mulighed for elektroniske anmodninger, navnlig hvis personoplysninger behandles elektronisk. Den dataansvarlige bør være forpligtet til at besvare sådanne anmodninger fra en registreret uden unødig forsinkelse og senest inden for en måned og begrunde det, hvis vedkommende ikke agter at imødekomme sådanne anmodninger.

| (60) | Principperne om rimelig og gennemsigtig behandling kræver, at den registrerede informeres om behandlingsaktiviteters eksistens og deres formål. Den dataansvarlige bør give den registrerede eventuelle yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling, under hensyntagen til de specifikke omstændigheder og forhold, som personoplysningerne behandles under. Den registrerede bør desuden informeres om tilstedeværelse af profilering og konsekvenserne heraf. Hvis personoplysninger indsamles fra den registrerede, bør den registrerede også informeres om, hvorvidt den pågældende er forpligtet til at meddele personoplysningerne, og om konsekvenserne, hvis vedkommende ikke meddeler sådanne oplysninger. Denne information kan gives sammen med standardiserede ikoner med henblik på at give et meningsfuldt overblik over den planlagte behandling på en klart synlig, letlæselig og letforståelig måde. Hvis ikonerne præsenteres elektronisk, bør de være maskinlæsbare. |
| --- | --- |

(60)

Principperne om rimelig og gennemsigtig behandling kræver, at den registrerede informeres om behandlingsaktiviteters eksistens og deres formål. Den dataansvarlige bør give den registrerede eventuelle yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling, under hensyntagen til de specifikke omstændigheder og forhold, som personoplysningerne behandles under. Den registrerede bør desuden informeres om tilstedeværelse af profilering og konsekvenserne heraf. Hvis personoplysninger indsamles fra den registrerede, bør den registrerede også informeres om, hvorvidt den pågældende er forpligtet til at meddele personoplysningerne, og om konsekvenserne, hvis vedkommende ikke meddeler sådanne oplysninger. Denne information kan gives sammen med standardiserede ikoner med henblik på at give et meningsfuldt overblik over den planlagte behandling på en klart synlig, letlæselig og letforståelig måde. Hvis ikonerne præsenteres elektronisk, bør de være maskinlæsbare.

| (61) | Oplysninger om behandling af personoplysninger bør gives til den registrerede på tidspunktet for indsamlingen fra den registrerede, eller hvis personoplysningerne indhentes fra en anden kilde, inden for en rimelig periode afhængigt af de konkrete omstændigheder. Hvis personoplysninger lovligt kan videregives til en anden modtager, bør den registrerede informeres, når personoplysningerne første gang videregives til modtageren. Hvis den dataansvarlige agter at behandle personoplysningerne til et andet formål end det, hvortil de er indsamlet, bør den dataansvarlige forud for denne viderebehandling give den registrerede oplysninger om dette andet formål og andre nødvendige oplysninger. Hvis den registrerede ikke kan informeres om personoplysningernes oprindelse, fordi der er anvendt forskellige kilder, bør der gives generelle oplysninger. |
| --- | --- |

(61)

Oplysninger om behandling af personoplysninger bør gives til den registrerede på tidspunktet for indsamlingen fra den registrerede, eller hvis personoplysningerne indhentes fra en anden kilde, inden for en rimelig periode afhængigt af de konkrete omstændigheder. Hvis personoplysninger lovligt kan videregives til en anden modtager, bør den registrerede informeres, når personoplysningerne første gang videregives til modtageren. Hvis den dataansvarlige agter at behandle personoplysningerne til et andet formål end det, hvortil de er indsamlet, bør den dataansvarlige forud for denne viderebehandling give den registrerede oplysninger om dette andet formål og andre nødvendige oplysninger. Hvis den registrerede ikke kan informeres om personoplysningernes oprindelse, fordi der er anvendt forskellige kilder, bør der gives generelle oplysninger.

| (62) | Det er imidlertid ikke nødvendigt at pålægge forpligtelsen til at give information, hvis den registrerede allerede er bekendt med oplysningerne, hvis registrering eller videregivelse af personoplysningerne udtrykkelig er fastsat ved lov, eller hvis det viser sig at være umuligt eller vil kræve en uforholdsmæssigt stor indsats at underrette den registrerede. Sidstnævnte kan navnlig være tilfældet i forbindelse med behandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål. I denne forbindelse bør der tages hensyn til antallet af registrerede, oplysningernes alder og eventuelle fornødne garantier, der er stillet. |
| --- | --- |

(62)

Det er imidlertid ikke nødvendigt at pålægge forpligtelsen til at give information, hvis den registrerede allerede er bekendt med oplysningerne, hvis registrering eller videregivelse af personoplysningerne udtrykkelig er fastsat ved lov, eller hvis det viser sig at være umuligt eller vil kræve en uforholdsmæssigt stor indsats at underrette den registrerede. Sidstnævnte kan navnlig være tilfældet i forbindelse med behandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål. I denne forbindelse bør der tages hensyn til antallet af registrerede, oplysningernes alder og eventuelle fornødne garantier, der er stillet.

| (63) | En registreret bør have ret til indsigt i personoplysninger, der er indsamlet om vedkommende, og til let og med rimelige mellemrum at udøve denne ret med henblik på at forvisse sig om og kontrollere en behandlings lovlighed. Dette omfatter registreredes ret til indsigt i deres helbredsoplysninger, f.eks. data i deres lægejournaler om diagnoser, undersøgelsesresultater, lægelige vurderinger samt enhver behandling og ethvert indgreb, der er foretaget. Enhver registreret bør derfor have ret til at kende og blive underrettet om navnlig de formål, hvortil personoplysningerne behandles, om muligt perioden, hvor personoplysningerne behandles, modtagerne af personoplysningerne, logikken der ligger bag en automatisk behandling af personoplysninger, og om konsekvenserne af sådan behandling, i hvert fald når den er baseret på profilering. Hvis det er muligt, bør den dataansvarlige kunne give fjernadgang til et sikkert system, der giver den registrerede direkte adgang til vedkommendes personoplysninger. Denne ret bør ikke krænke andres rettigheder eller frihedsrettigheder, herunder forretningshemmeligheder eller intellektuel ejendomsret, navnlig den ophavsret, som programmerne er beskyttet af. Denne vurdering bør dog ikke resultere i en afvisning af at give al information til den registrerede. Hvis den dataansvarlige behandler en stor mængde oplysninger om den registrerede, bør den dataansvarlige kunne anmode om, at den registrerede, inden informationen gives, præciserer den information eller de behandlingsaktiviteter, som anmodningen vedrører. |
| --- | --- |

(63)

En registreret bør have ret til indsigt i personoplysninger, der er indsamlet om vedkommende, og til let og med rimelige mellemrum at udøve denne ret med henblik på at forvisse sig om og kontrollere en behandlings lovlighed. Dette omfatter registreredes ret til indsigt i deres helbredsoplysninger, f.eks. data i deres lægejournaler om diagnoser, undersøgelsesresultater, lægelige vurderinger samt enhver behandling og ethvert indgreb, der er foretaget. Enhver registreret bør derfor have ret til at kende og blive underrettet om navnlig de formål, hvortil personoplysningerne behandles, om muligt perioden, hvor personoplysningerne behandles, modtagerne af personoplysningerne, logikken der ligger bag en automatisk behandling af personoplysninger, og om konsekvenserne af sådan behandling, i hvert fald når den er baseret på profilering. Hvis det er muligt, bør den dataansvarlige kunne give fjernadgang til et sikkert system, der giver den registrerede direkte adgang til vedkommendes personoplysninger. Denne ret bør ikke krænke andres rettigheder eller frihedsrettigheder, herunder forretningshemmeligheder eller intellektuel ejendomsret, navnlig den ophavsret, som programmerne er beskyttet af. Denne vurdering bør dog ikke resultere i en afvisning af at give al information til den registrerede. Hvis den dataansvarlige behandler en stor mængde oplysninger om den registrerede, bør den dataansvarlige kunne anmode om, at den registrerede, inden informationen gives, præciserer den information eller de behandlingsaktiviteter, som anmodningen vedrører.

| (64) | Den dataansvarlige bør træffe alle rimelige foranstaltninger for at bekræfte identiteten af en registreret, som anmoder om indsigt, navnlig i forbindelse med onlinetjenester og onlineidentifikatorer. En dataansvarlig bør ikke opbevare personoplysninger alene for at kunne reagere på mulige anmodninger. |
| --- | --- |

(64)

Den dataansvarlige bør træffe alle rimelige foranstaltninger for at bekræfte identiteten af en registreret, som anmoder om indsigt, navnlig i forbindelse med onlinetjenester og onlineidentifikatorer. En dataansvarlig bør ikke opbevare personoplysninger alene for at kunne reagere på mulige anmodninger.

| (65) | En registreret bør have ret til at få berigtiget sine personoplysninger og »ret til at blive glemt«, hvis opbevaringen af sådanne oplysninger overtræder denne forordning eller EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt. En registreret bør navnlig have ret til at få sine personoplysninger slettet og ikke længere behandlet, hvis personoplysningerne ikke længere er nødvendige til de formål, hvortil de er blevet indsamlet eller på anden måde behandlet, hvis en registreret har trukket sit samtykke tilbage eller gør indsigelse mod behandling af personoplysninger om vedkommende, eller hvis behandlingen af vedkommendes personoplysninger i øvrigt ikke er i overensstemmelse med denne forordning. Denne ret er navnlig relevant, når den registrerede har givet sit samtykke som barn og ikke er fuldt ud var bekendt med risiciene i forbindelse med behandling, og senere ønsker at fjerne sådanne personoplysninger, særligt på internettet. Den registrerede bør kunne udøve denne rettighed, uanset om vedkommende ikke længere er et barn. Yderligere opbevaring af personoplysningerne bør dog være lovlig, hvis det er nødvendigt for at udøve retten til ytrings- og informationsfrihed, for at overholde en retlig forpligtelse, for udførelsen af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt, af hensyn til samfundsinteresser på folkesundhedsområdet, til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller statistiske formål, eller for at retskrav kan fastlægges, gøres gældende eller forsvares. |
| --- | --- |

(65)

En registreret bør have ret til at få berigtiget sine personoplysninger og »ret til at blive glemt«, hvis opbevaringen af sådanne oplysninger overtræder denne forordning eller EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt. En registreret bør navnlig have ret til at få sine personoplysninger slettet og ikke længere behandlet, hvis personoplysningerne ikke længere er nødvendige til de formål, hvortil de er blevet indsamlet eller på anden måde behandlet, hvis en registreret har trukket sit samtykke tilbage eller gør indsigelse mod behandling af personoplysninger om vedkommende, eller hvis behandlingen af vedkommendes personoplysninger i øvrigt ikke er i overensstemmelse med denne forordning. Denne ret er navnlig relevant, når den registrerede har givet sit samtykke som barn og ikke er fuldt ud var bekendt med risiciene i forbindelse med behandling, og senere ønsker at fjerne sådanne personoplysninger, særligt på internettet. Den registrerede bør kunne udøve denne rettighed, uanset om vedkommende ikke længere er et barn. Yderligere opbevaring af personoplysningerne bør dog være lovlig, hvis det er nødvendigt for at udøve retten til ytrings- og informationsfrihed, for at overholde en retlig forpligtelse, for udførelsen af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt, af hensyn til samfundsinteresser på folkesundhedsområdet, til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller statistiske formål, eller for at retskrav kan fastlægges, gøres gældende eller forsvares.

| (66) | For at styrke retten til at blive glemt i onlinemiljøet bør retten til sletning udvides, så en dataansvarlig, der har offentliggjort personoplysninger, forpligtes til at underrette de dataansvarlige, der behandler sådanne personoplysninger, med henblik på at få slettet alle link til, kopier af eller gengivelser af disse personoplysninger. I den forbindelse bør den dataansvarlige tage rimelige skridt under hensyntagen til den tilgængelige teknologi og de midler, som den dataansvarlige har til sin rådighed, herunder tekniske foranstaltninger, til at informere de dataansvarlige, der behandler personoplysningerne, om den registreredes anmodning. |
| --- | --- |

(66)

For at styrke retten til at blive glemt i onlinemiljøet bør retten til sletning udvides, så en dataansvarlig, der har offentliggjort personoplysninger, forpligtes til at underrette de dataansvarlige, der behandler sådanne personoplysninger, med henblik på at få slettet alle link til, kopier af eller gengivelser af disse personoplysninger. I den forbindelse bør den dataansvarlige tage rimelige skridt under hensyntagen til den tilgængelige teknologi og de midler, som den dataansvarlige har til sin rådighed, herunder tekniske foranstaltninger, til at informere de dataansvarlige, der behandler personoplysningerne, om den registreredes anmodning.

| (67) | Metoder til at begrænse behandlingen af personoplysninger kan bl.a. omfatte, at udvalgte oplysninger midlertidig flyttes til et andet behandlingssystem, at udvalgte personoplysninger gøres utilgængelige for brugere, eller at offentliggjorte oplysninger midlertidig fjernes fra et websted. I automatiske registre bør begrænsning af behandling i princippet sikres ved hjælp af tekniske midler på en sådan måde, at personoplysningerne ikke kan viderebehandles og ikke kan ændres. Det forhold, at behandling af personoplysninger er begrænset, bør angives tydeligt i systemet. |
| --- | --- |

(67)

Metoder til at begrænse behandlingen af personoplysninger kan bl.a. omfatte, at udvalgte oplysninger midlertidig flyttes til et andet behandlingssystem, at udvalgte personoplysninger gøres utilgængelige for brugere, eller at offentliggjorte oplysninger midlertidig fjernes fra et websted. I automatiske registre bør begrænsning af behandling i princippet sikres ved hjælp af tekniske midler på en sådan måde, at personoplysningerne ikke kan viderebehandles og ikke kan ændres. Det forhold, at behandling af personoplysninger er begrænset, bør angives tydeligt i systemet.

| (68) | For at give den registrerede øget kontrol over sine personoplysninger bør vedkommende, når behandling af personoplysninger foretages automatisk, også kunne modtage personoplysninger vedrørende vedkommende, som vedkommende har givet til en dataansvarlig, i et struktureret, almindeligt anvendt, maskinlæsbart og indbyrdes kompatibelt format og kunne transmittere dem til en anden dataansvarlig. Dataansvarlige bør opfordres til at udvikle indbyrdes kompatible formater, der muliggør dataportabilitet. Denne ret bør gælde, hvis den registrerede har givet personoplysningerne på grundlag af sit samtykke, eller hvis behandlingen er nødvendig for opfyldelsen af en kontrakt. Den bør ikke gælde, hvis behandlingen er baseret på et andet retsgrundlag end samtykke eller kontrakt. Denne ret bør på grund af selve sin karakter ikke udøves over for dataansvarlige, der behandler personoplysninger under udøvelsen af deres offentlige opgaver. Derfor bør den ikke gælde, hvis behandlingen af personoplysninger er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige, eller for at udføre en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Den registreredes ret til at transmittere eller modtage personoplysninger vedrørende vedkommende bør ikke skabe en forpligtelse for dataansvarlige til at indføre eller opretholde behandlingssystemer, som er teknisk kompatible. Såfremt et sæt personoplysninger vedrører mere end én registreret, bør retten til at modtage personoplysningerne ikke berøre andre registreredes rettigheder og frihedsrettigheder i overensstemmelse med denne forordning. Denne ret bør endvidere ikke berøre den registreredes ret til at få slettet personoplysninger og begrænsningerne i denne ret som fastsat i denne forordning og bør navnlig ikke indebære, at personoplysninger, som den registrerede har givet til opfyldelse af en kontrakt, slettes, i det omfang og så længe personoplysningerne er nødvendige for opfyldelse af kontrakten. Hvis det er teknisk muligt, bør den registrerede have ret til at få personoplysningerne transmitteret direkte fra en dataansvarlig til en anden. |
| --- | --- |

(68)

For at give den registrerede øget kontrol over sine personoplysninger bør vedkommende, når behandling af personoplysninger foretages automatisk, også kunne modtage personoplysninger vedrørende vedkommende, som vedkommende har givet til en dataansvarlig, i et struktureret, almindeligt anvendt, maskinlæsbart og indbyrdes kompatibelt format og kunne transmittere dem til en anden dataansvarlig. Dataansvarlige bør opfordres til at udvikle indbyrdes kompatible formater, der muliggør dataportabilitet. Denne ret bør gælde, hvis den registrerede har givet personoplysningerne på grundlag af sit samtykke, eller hvis behandlingen er nødvendig for opfyldelsen af en kontrakt. Den bør ikke gælde, hvis behandlingen er baseret på et andet retsgrundlag end samtykke eller kontrakt. Denne ret bør på grund af selve sin karakter ikke udøves over for dataansvarlige, der behandler personoplysninger under udøvelsen af deres offentlige opgaver. Derfor bør den ikke gælde, hvis behandlingen af personoplysninger er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige, eller for at udføre en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Den registreredes ret til at transmittere eller modtage personoplysninger vedrørende vedkommende bør ikke skabe en forpligtelse for dataansvarlige til at indføre eller opretholde behandlingssystemer, som er teknisk kompatible. Såfremt et sæt personoplysninger vedrører mere end én registreret, bør retten til at modtage personoplysningerne ikke berøre andre registreredes rettigheder og frihedsrettigheder i overensstemmelse med denne forordning. Denne ret bør endvidere ikke berøre den registreredes ret til at få slettet personoplysninger og begrænsningerne i denne ret som fastsat i denne forordning og bør navnlig ikke indebære, at personoplysninger, som den registrerede har givet til opfyldelse af en kontrakt, slettes, i det omfang og så længe personoplysningerne er nødvendige for opfyldelse af kontrakten. Hvis det er teknisk muligt, bør den registrerede have ret til at få personoplysningerne transmitteret direkte fra en dataansvarlig til en anden.

| (69) | Hvis personoplysninger kan behandles lovligt, fordi behandling er nødvendig for at udføre en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt, eller af hensyn til en dataansvarligs eller en tredjemands legitime interesse, bør en registreret ikke desto mindre have ret til at gøre indsigelse mod behandling af personoplysninger på baggrund af den pågældendes særlige situation. Det bør være op til den dataansvarlige at påvise, at dennes vægtige legitime interesse har forrang for den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder. |
| --- | --- |

(69)

Hvis personoplysninger kan behandles lovligt, fordi behandling er nødvendig for at udføre en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt, eller af hensyn til en dataansvarligs eller en tredjemands legitime interesse, bør en registreret ikke desto mindre have ret til at gøre indsigelse mod behandling af personoplysninger på baggrund af den pågældendes særlige situation. Det bør være op til den dataansvarlige at påvise, at dennes vægtige legitime interesse har forrang for den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder.

| (70) | Hvis personoplysninger behandles med henblik på direkte markedsføring, bør den registrerede til enhver tid have ret til gratis at gøre indsigelse mod en sådan behandling, herunder profilering, i det omfang den vedrører direkte marketing, uanset om det drejer sig om indledende behandling eller viderebehandling. Den registrerede bør udtrykkelig gøres opmærksom på denne ret, og oplysningerne bør gives klart og adskilt fra alle andre oplysninger. |
| --- | --- |

(70)

Hvis personoplysninger behandles med henblik på direkte markedsføring, bør den registrerede til enhver tid have ret til gratis at gøre indsigelse mod en sådan behandling, herunder profilering, i det omfang den vedrører direkte marketing, uanset om det drejer sig om indledende behandling eller viderebehandling. Den registrerede bør udtrykkelig gøres opmærksom på denne ret, og oplysningerne bør gives klart og adskilt fra alle andre oplysninger.

| (71) | Den registrerede bør have ret til ikke at blive gjort til genstand for en afgørelse, der kan omfatte en foranstaltning, som evaluerer personlige forhold vedrørende vedkommende, og som alene bygger på automatisk behandling, og som har retsvirkning eller som på tilsvarende vis betydeligt påvirker den pågældende, såsom et automatisk afslag på en onlineansøgning om kredit eller e-rekrutteringsprocedurer uden nogen menneskelig indgriben. En sådan behandling omfatter »profilering«, der består af enhver form for automatisk behandling af personoplysninger, der evaluerer de personlige forhold vedrørende en fysisk person, navnlig for at analysere eller forudsige forhold vedrørende den registreredes arbejdsindsats, økonomisk situation, helbred, personlige præferencer eller interesser, pålidelighed eller adfærd eller geografiske position eller bevægelser, når den har retsvirkning for den pågældende eller på tilsvarende vis betydeligt påvirker den pågældende. Afgørelser baseret på en sådan behandling, herunder profilering, bør dog være tilladt, når EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt, udtrykkelig tillader det, herunder med henblik på overvågning og forebyggelse af svig og skatteunddragelse i overensstemmelse med EU-institutionernes eller nationale tilsynsmyndigheders forskrifter, standarder og henstillinger og for at garantere sikkerheden og pålideligheden af en tjeneste, der ydes af den dataansvarlige, eller hvis det er nødvendigt for indgåelse eller opfyldelse af en kontrakt mellem den registrerede og en dataansvarlig, eller når den registrerede har givet sit udtrykkelige samtykke. En sådan behandling bør under alle omstændigheder være omfattet af de fornødne garantier, herunder specifik underretning af den registrerede og retten til menneskelig indgriben, til at fremkomme med synspunkter, til at få en forklaring på den afgørelse, der er truffet efter en sådan evaluering, og til at bestride afgørelsen. En sådan foranstaltning bør ikke omfatte et barn.
  For at sikre en rimelig og gennemsigtig behandling for så vidt angår den registrerede under hensyntagen til de specifikke omstændigheder og forhold, som personoplysningerne behandles under, bør den dataansvarlige anvende passende matematiske eller statistiske procedurer til profileringen, gennemføre tekniske og organisatoriske foranstaltninger, der navnlig kan sikre, at faktorer, der resulterer i unøjagtige personoplysninger, bliver rettet, og at risikoen for fejl minimeres, samt sikre personoplysninger på en måde, der tager højde for de potentielle risici for den registreredes interesser og rettigheder, og som hindrer bl.a. forskelsbehandling af fysiske personer på grund af race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, genetisk status eller helbredstilstand eller seksuel orientering, eller som resulterer i foranstaltninger, der har en sådan virkning. Automatiske afgørelser og profilering baseret på særlige kategorier af personoplysninger bør kun tillades under særlige omstændigheder. |
| --- | --- |

(71)

Den registrerede bør have ret til ikke at blive gjort til genstand for en afgørelse, der kan omfatte en foranstaltning, som evaluerer personlige forhold vedrørende vedkommende, og som alene bygger på automatisk behandling, og som har retsvirkning eller som på tilsvarende vis betydeligt påvirker den pågældende, såsom et automatisk afslag på en onlineansøgning om kredit eller e-rekrutteringsprocedurer uden nogen menneskelig indgriben. En sådan behandling omfatter »profilering«, der består af enhver form for automatisk behandling af personoplysninger, der evaluerer de personlige forhold vedrørende en fysisk person, navnlig for at analysere eller forudsige forhold vedrørende den registreredes arbejdsindsats, økonomisk situation, helbred, personlige præferencer eller interesser, pålidelighed eller adfærd eller geografiske position eller bevægelser, når den har retsvirkning for den pågældende eller på tilsvarende vis betydeligt påvirker den pågældende. Afgørelser baseret på en sådan behandling, herunder profilering, bør dog være tilladt, når EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt, udtrykkelig tillader det, herunder med henblik på overvågning og forebyggelse af svig og skatteunddragelse i overensstemmelse med EU-institutionernes eller nationale tilsynsmyndigheders forskrifter, standarder og henstillinger og for at garantere sikkerheden og pålideligheden af en tjeneste, der ydes af den dataansvarlige, eller hvis det er nødvendigt for indgåelse eller opfyldelse af en kontrakt mellem den registrerede og en dataansvarlig, eller når den registrerede har givet sit udtrykkelige samtykke. En sådan behandling bør under alle omstændigheder være omfattet af de fornødne garantier, herunder specifik underretning af den registrerede og retten til menneskelig indgriben, til at fremkomme med synspunkter, til at få en forklaring på den afgørelse, der er truffet efter en sådan evaluering, og til at bestride afgørelsen. En sådan foranstaltning bør ikke omfatte et barn.

For at sikre en rimelig og gennemsigtig behandling for så vidt angår den registrerede under hensyntagen til de specifikke omstændigheder og forhold, som personoplysningerne behandles under, bør den dataansvarlige anvende passende matematiske eller statistiske procedurer til profileringen, gennemføre tekniske og organisatoriske foranstaltninger, der navnlig kan sikre, at faktorer, der resulterer i unøjagtige personoplysninger, bliver rettet, og at risikoen for fejl minimeres, samt sikre personoplysninger på en måde, der tager højde for de potentielle risici for den registreredes interesser og rettigheder, og som hindrer bl.a. forskelsbehandling af fysiske personer på grund af race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, genetisk status eller helbredstilstand eller seksuel orientering, eller som resulterer i foranstaltninger, der har en sådan virkning. Automatiske afgørelser og profilering baseret på særlige kategorier af personoplysninger bør kun tillades under særlige omstændigheder.

| (72) | Profilering er omfattet af reglerne i denne forordning vedrørende behandlingen af personoplysninger, såsom retsgrundlaget for behandling og databeskyttelsesprincipper. Det Europæiske Databeskyttelsesråd oprettet ved denne forordning (»Databeskyttelsesrådet«) bør kunne udstede retningslinjer i denne forbindelse. |
| --- | --- |

(72)

Profilering er omfattet af reglerne i denne forordning vedrørende behandlingen af personoplysninger, såsom retsgrundlaget for behandling og databeskyttelsesprincipper. Det Europæiske Databeskyttelsesråd oprettet ved denne forordning (»Databeskyttelsesrådet«) bør kunne udstede retningslinjer i denne forbindelse.

| (73) | Specifikke principper og retten til oplysninger, indsigt i og berigtigelse eller sletning af personoplysninger, retten til dataportabilitet, retten til indsigelse, afgørelser baseret på profilering og meddelelse af et brud på persondatasikkerheden til en registreret og visse tilknyttede forpligtelser for de dataansvarlige kan begrænses af EU-retten eller medlemsstaternes nationale ret, for så vidt det er nødvendigt og forholdsmæssigt i et demokratisk samfund af hensyn til den offentlige sikkerhed, herunder beskyttelse af menneskeliv, især som reaktion på naturkatastrofer eller menneskeskabte katastrofer, forebyggelse, efterforskning og retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed, eller brud på de etiske regler for lovregulerede erhverv, andre af Unionens eller en medlemsstats samfundsinteresser, navnlig Unionens eller en medlemsstats vigtige økonomiske eller finansielle interesser, føring af offentlige registre i offentlighedens interesse, viderebehandling af arkiverede personoplysninger for at tilvejebringe specifikke oplysninger om politisk adfærd under tidligere totalitære regimer eller beskyttelse af den registrerede eller andres rettigheder og frihedsrettigheder, herunder social sikring, folkesundhed og humanitære formål. En sådan begrænsning bør være i overensstemmelse med kravene i chartret og i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder. |
| --- | --- |

(73)

Specifikke principper og retten til oplysninger, indsigt i og berigtigelse eller sletning af personoplysninger, retten til dataportabilitet, retten til indsigelse, afgørelser baseret på profilering og meddelelse af et brud på persondatasikkerheden til en registreret og visse tilknyttede forpligtelser for de dataansvarlige kan begrænses af EU-retten eller medlemsstaternes nationale ret, for så vidt det er nødvendigt og forholdsmæssigt i et demokratisk samfund af hensyn til den offentlige sikkerhed, herunder beskyttelse af menneskeliv, især som reaktion på naturkatastrofer eller menneskeskabte katastrofer, forebyggelse, efterforskning og retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed, eller brud på de etiske regler for lovregulerede erhverv, andre af Unionens eller en medlemsstats samfundsinteresser, navnlig Unionens eller en medlemsstats vigtige økonomiske eller finansielle interesser, føring af offentlige registre i offentlighedens interesse, viderebehandling af arkiverede personoplysninger for at tilvejebringe specifikke oplysninger om politisk adfærd under tidligere totalitære regimer eller beskyttelse af den registrerede eller andres rettigheder og frihedsrettigheder, herunder social sikring, folkesundhed og humanitære formål. En sådan begrænsning bør være i overensstemmelse med kravene i chartret og i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder.

| (74) | Der bør fastsættes bestemmelser om den dataansvarliges ansvar, herunder erstatningsansvar, for enhver behandling af personoplysninger, der foretages af den dataansvarlige eller på den dataansvarliges vegne. Den dataansvarlige bør navnlig have pligt til at gennemføre passende og effektive foranstaltninger og til at påvise, at behandlingsaktiviteter overholder denne forordning, herunder foranstaltningernes effektivitet. Disse foranstaltninger bør tage højde for behandlingens karakter, omfang, sammenhæng og formål og risikoen for fysiske personers rettigheder og frihedsrettigheder. |
| --- | --- |

(74)

Der bør fastsættes bestemmelser om den dataansvarliges ansvar, herunder erstatningsansvar, for enhver behandling af personoplysninger, der foretages af den dataansvarlige eller på den dataansvarliges vegne. Den dataansvarlige bør navnlig have pligt til at gennemføre passende og effektive foranstaltninger og til at påvise, at behandlingsaktiviteter overholder denne forordning, herunder foranstaltningernes effektivitet. Disse foranstaltninger bør tage højde for behandlingens karakter, omfang, sammenhæng og formål og risikoen for fysiske personers rettigheder og frihedsrettigheder.

| (75) | Risiciene for fysiske personers rettigheder og frihedsrettigheder, af varierende sandsynlighed og alvor, kan opstå som følge af behandling af personoplysninger, der kan føre til fysisk, materiel eller immateriel skade, navnlig hvis behandlingen kan give anledning til forskelsbehandling, identitetstyveri eller -svig, finansielle tab, skade på omdømme, tab af fortrolighed for personoplysninger, der er omfattet af tavshedspligt, uautoriseret ophævelse af pseudonymisering eller andre betydelige økonomiske eller sociale konsekvenser; hvis de registrerede kan blive berøvet deres rettigheder og frihedsrettigheder eller forhindret i at udøve kontrol med deres personoplysninger; hvis der behandles personoplysninger, der viser race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, og behandling af genetiske data, helbredsoplysninger eller oplysninger om seksuelle forhold eller straffedomme og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger; hvis personlige forhold evalueres, navnlig analyse eller forudsigelse af forhold vedrørende indsats på arbejdspladsen, økonomisk situation, helbred, personlige præferencer eller interesser, pålidelighed eller adfærd eller geografisk position eller bevægelser, med henblik på at oprette eller anvende personlige profiler; hvis der behandles personoplysninger om sårbare fysiske personer, navnlig børn; eller hvis behandlingen omfatter en stor mængde personoplysninger og berører et stort antal registrerede. |
| --- | --- |

(75)

Risiciene for fysiske personers rettigheder og frihedsrettigheder, af varierende sandsynlighed og alvor, kan opstå som følge af behandling af personoplysninger, der kan føre til fysisk, materiel eller immateriel skade, navnlig hvis behandlingen kan give anledning til forskelsbehandling, identitetstyveri eller -svig, finansielle tab, skade på omdømme, tab af fortrolighed for personoplysninger, der er omfattet af tavshedspligt, uautoriseret ophævelse af pseudonymisering eller andre betydelige økonomiske eller sociale konsekvenser; hvis de registrerede kan blive berøvet deres rettigheder og frihedsrettigheder eller forhindret i at udøve kontrol med deres personoplysninger; hvis der behandles personoplysninger, der viser race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, og behandling af genetiske data, helbredsoplysninger eller oplysninger om seksuelle forhold eller straffedomme og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger; hvis personlige forhold evalueres, navnlig analyse eller forudsigelse af forhold vedrørende indsats på arbejdspladsen, økonomisk situation, helbred, personlige præferencer eller interesser, pålidelighed eller adfærd eller geografisk position eller bevægelser, med henblik på at oprette eller anvende personlige profiler; hvis der behandles personoplysninger om sårbare fysiske personer, navnlig børn; eller hvis behandlingen omfatter en stor mængde personoplysninger og berører et stort antal registrerede.

| (76) | Risikoens sandsynlighed og alvor for så vidt angår den registreredes rettigheder og frihedsrettigheder bør bestemmes med henvisning til behandlingens karakter, omfang, sammenhæng og formål. Risikoen bør evalueres på grundlag af en objektiv vurdering, hvorved det fastslås, om databehandlingsaktiviteter indebærer en risiko eller en høj risiko. |
| --- | --- |

(76)

Risikoens sandsynlighed og alvor for så vidt angår den registreredes rettigheder og frihedsrettigheder bør bestemmes med henvisning til behandlingens karakter, omfang, sammenhæng og formål. Risikoen bør evalueres på grundlag af en objektiv vurdering, hvorved det fastslås, om databehandlingsaktiviteter indebærer en risiko eller en høj risiko.

| (77) | Retningslinjer til den dataansvarlige eller databehandleren om implementering af passende foranstaltninger og for påvisning af vedkommendes overholdelse af denne forordning, navnlig for så vidt angår identificering af risikoen i forbindelse med behandlingen, deres vurdering med hensyn til risikoens oprindelse, karakter, sandsynlighed og alvor og om identificering af bedste praksis med henblik på at begrænse denne risiko, kan opstilles, navnlig gennem godkendte adfærdskodekser, godkendte certificeringer, retningslinjer fra Databeskyttelsesrådet eller en databeskyttelsesrådgivers anvisninger. Databeskyttelsesrådet kan også opstille retningslinjer for behandlingsaktiviteter, som anses for sandsynligvis ikke at medføre en høj risiko for fysiske personers rettigheder og frihedsrettigheder, og give anvisninger for, hvilke foranstaltninger der kan være tilstrækkelige i disse tilfælde for at afhjælpe en sådan risiko. |
| --- | --- |

(77)

Retningslinjer til den dataansvarlige eller databehandleren om implementering af passende foranstaltninger og for påvisning af vedkommendes overholdelse af denne forordning, navnlig for så vidt angår identificering af risikoen i forbindelse med behandlingen, deres vurdering med hensyn til risikoens oprindelse, karakter, sandsynlighed og alvor og om identificering af bedste praksis med henblik på at begrænse denne risiko, kan opstilles, navnlig gennem godkendte adfærdskodekser, godkendte certificeringer, retningslinjer fra Databeskyttelsesrådet eller en databeskyttelsesrådgivers anvisninger. Databeskyttelsesrådet kan også opstille retningslinjer for behandlingsaktiviteter, som anses for sandsynligvis ikke at medføre en høj risiko for fysiske personers rettigheder og frihedsrettigheder, og give anvisninger for, hvilke foranstaltninger der kan være tilstrækkelige i disse tilfælde for at afhjælpe en sådan risiko.

| (78) | Beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger kræver, at der træffes passende tekniske og organisatoriske foranstaltninger for at sikre, at denne forordnings krav opfyldes. For at kunne påvise overholdelse af denne forordning bør den dataansvarlige vedtage interne politikker og gennemføre foranstaltninger, som især lever op til principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger. Sådanne foranstaltninger kan bl.a. bestå i minimering af behandlingen af personoplysninger, pseudonymisering af personoplysninger så hurtigt som muligt og gennemsigtighed for så vidt angår personoplysningers funktion og behandling, således at den registrerede kan overvåge databehandlingen, og den dataansvarlige kan tilvejebringe og forbedre sikkerhedselementer. Når producenter af produkter, tjenester og applikationer udvikler, designer, udvælger og bruger applikationer, tjenester og produkter, der er baseret på behandling af personoplysninger eller behandler personoplysninger, for at udføre deres opgaver, bør de tilskyndes til at tage højde for retten til databeskyttelse i forbindelse med udvikling og design af sådanne produkter, tjenester og applikationer og til under behørig hensyntagen til det aktuelle tekniske niveau at sørge for, at de dataansvarlige og databehandlerne er i stand til at opfylde deres databeskyttelsesforpligtelser. Der bør også tages hensyn til principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger i forbindelse med offentlige udbud. |
| --- | --- |

(78)

Beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger kræver, at der træffes passende tekniske og organisatoriske foranstaltninger for at sikre, at denne forordnings krav opfyldes. For at kunne påvise overholdelse af denne forordning bør den dataansvarlige vedtage interne politikker og gennemføre foranstaltninger, som især lever op til principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger. Sådanne foranstaltninger kan bl.a. bestå i minimering af behandlingen af personoplysninger, pseudonymisering af personoplysninger så hurtigt som muligt og gennemsigtighed for så vidt angår personoplysningers funktion og behandling, således at den registrerede kan overvåge databehandlingen, og den dataansvarlige kan tilvejebringe og forbedre sikkerhedselementer. Når producenter af produkter, tjenester og applikationer udvikler, designer, udvælger og bruger applikationer, tjenester og produkter, der er baseret på behandling af personoplysninger eller behandler personoplysninger, for at udføre deres opgaver, bør de tilskyndes til at tage højde for retten til databeskyttelse i forbindelse med udvikling og design af sådanne produkter, tjenester og applikationer og til under behørig hensyntagen til det aktuelle tekniske niveau at sørge for, at de dataansvarlige og databehandlerne er i stand til at opfylde deres databeskyttelsesforpligtelser. Der bør også tages hensyn til principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger i forbindelse med offentlige udbud.

| (79) | Beskyttelse af registreredes rettigheder og frihedsrettigheder samt de dataansvarliges og databehandlernes ansvar, herunder erstatningsansvar, også i forbindelse med tilsynsmyndighedernes kontrol og foranstaltninger, kræver en klar fordeling af ansvarsområderne i medfør af denne forordning, herunder når en dataansvarlig fastlægger formålene med og hjælpemidlerne til behandling sammen med andre dataansvarlige, eller når en behandlingsaktivitet foretages på vegne af en dataansvarlig. |
| --- | --- |

(79)

Beskyttelse af registreredes rettigheder og frihedsrettigheder samt de dataansvarliges og databehandlernes ansvar, herunder erstatningsansvar, også i forbindelse med tilsynsmyndighedernes kontrol og foranstaltninger, kræver en klar fordeling af ansvarsområderne i medfør af denne forordning, herunder når en dataansvarlig fastlægger formålene med og hjælpemidlerne til behandling sammen med andre dataansvarlige, eller når en behandlingsaktivitet foretages på vegne af en dataansvarlig.

| (80) | Hvis en dataansvarlig eller en databehandler, som ikke er etableret i Unionen, behandler personoplysninger om registrerede, der er i Unionen, og hvis behandlingsaktiviteter vedrører udbud af varer eller tjenesteydelser til sådanne registrerede i Unionen, uanset om betaling fra de registrerede er påkrævet, eller overvågning af deres adfærd, hvis adfærden finder sted i Unionen, bør den dataansvarlige eller databehandleren udpege en repræsentant, medmindre behandlingen er lejlighedsvis, ikke i stort omfang indebærer behandling af særlige kategorier af personoplysninger eller behandlingen af personoplysninger vedrørende straffedomme og lovovertrædelser, og sandsynligvis ikke indebærer en risiko for fysiske personers rettigheder og frihedsrettigheder under hensyntagen til behandlingens karakter, sammenhæng, omfang og formål, eller hvis den dataansvarlige er en offentlig myndighed eller et offentligt organ. Repræsentanten bør handle på den dataansvarliges eller databehandlerens vegne og kan kontaktes af enhver tilsynsmyndighed. Repræsentanten bør udtrykkelig udpeges ved et skriftligt mandat fra den dataansvarlige eller fra databehandleren til at handle på dennes vegne for så vidt angår dennes forpligtelser i henhold til denne forordning. Udpegelsen af en sådan repræsentant berører ikke den dataansvarliges eller databehandlerens ansvar, herunder erstatningsansvar, i henhold til denne forordning. En sådan repræsentant bør udføre sine opgaver i overensstemmelse med mandatet fra den dataansvarlige eller databehandleren, herunder samarbejde med de kompetente tilsynsmyndigheder med hensyn til enhver foranstaltning, der træffes for at sikre overholdelse af denne forordning. Den udpegede repræsentant bør være underlagt håndhævelsesforanstaltninger i tilfælde af manglende overholdelse fra den dataansvarliges eller databehandlerens side. |
| --- | --- |

(80)

Hvis en dataansvarlig eller en databehandler, som ikke er etableret i Unionen, behandler personoplysninger om registrerede, der er i Unionen, og hvis behandlingsaktiviteter vedrører udbud af varer eller tjenesteydelser til sådanne registrerede i Unionen, uanset om betaling fra de registrerede er påkrævet, eller overvågning af deres adfærd, hvis adfærden finder sted i Unionen, bør den dataansvarlige eller databehandleren udpege en repræsentant, medmindre behandlingen er lejlighedsvis, ikke i stort omfang indebærer behandling af særlige kategorier af personoplysninger eller behandlingen af personoplysninger vedrørende straffedomme og lovovertrædelser, og sandsynligvis ikke indebærer en risiko for fysiske personers rettigheder og frihedsrettigheder under hensyntagen til behandlingens karakter, sammenhæng, omfang og formål, eller hvis den dataansvarlige er en offentlig myndighed eller et offentligt organ. Repræsentanten bør handle på den dataansvarliges eller databehandlerens vegne og kan kontaktes af enhver tilsynsmyndighed. Repræsentanten bør udtrykkelig udpeges ved et skriftligt mandat fra den dataansvarlige eller fra databehandleren til at handle på dennes vegne for så vidt angår dennes forpligtelser i henhold til denne forordning. Udpegelsen af en sådan repræsentant berører ikke den dataansvarliges eller databehandlerens ansvar, herunder erstatningsansvar, i henhold til denne forordning. En sådan repræsentant bør udføre sine opgaver i overensstemmelse med mandatet fra den dataansvarlige eller databehandleren, herunder samarbejde med de kompetente tilsynsmyndigheder med hensyn til enhver foranstaltning, der træffes for at sikre overholdelse af denne forordning. Den udpegede repræsentant bør være underlagt håndhævelsesforanstaltninger i tilfælde af manglende overholdelse fra den dataansvarliges eller databehandlerens side.

| (81) | Med henblik på at sikre overholdelse af kravene i denne forordning i forbindelse med behandling, der foretages af en databehandler på vegne af den dataansvarlige, når databehandleren overdrages behandlingsaktiviteter, bør den dataansvarlige udelukkende benytte sig af databehandlere, der giver tilstrækkelige garantier, navnlig i form af ekspertise, pålidelighed og ressourcer, for implementering af tekniske og organisatoriske foranstaltninger, der opfylder kravene i denne forordning, herunder med hensyn til behandlingssikkerhed. Databehandlerens overholdelse af en godkendt adfærdskodeks eller en godkendt certificeringsmekanisme kan bruges som et element til at påvise, at den dataansvarlige overholder sine forpligtelser. Bestemmelserne om behandling ved en databehandler bør fastsættes i en kontrakt eller et andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, der binder databehandleren til den dataansvarlige, og hvori behandlingens genstand og varighed, behandlingens karakter og formål, typen af personoplysninger og kategorierne af registrerede er fastsat, idet der tages hensyn til databehandleres specifikke opgaver og ansvar i forbindelse med den behandling, der skal foretages, og risikoen for den registreredes rettigheder og frihedsrettigheder. Den dataansvarlige og databehandleren kan vælge at anvende en individuel kontrakt eller standardkontraktbestemmelser, der er vedtaget enten direkte af Kommissionen eller af en tilsynsmyndighed i henhold til sammenhængsmekanismen og derefter vedtaget af Kommissionen. Databehandleren bør efter den dataansvarliges valg tilbagelevere eller slette de pågældende personoplysninger efter afslutning af den behandling, der er foretaget på vegne af den dataansvarlige, medmindre der er et krav om at opbevare personoplysningerne i EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt. |
| --- | --- |

(81)

Med henblik på at sikre overholdelse af kravene i denne forordning i forbindelse med behandling, der foretages af en databehandler på vegne af den dataansvarlige, når databehandleren overdrages behandlingsaktiviteter, bør den dataansvarlige udelukkende benytte sig af databehandlere, der giver tilstrækkelige garantier, navnlig i form af ekspertise, pålidelighed og ressourcer, for implementering af tekniske og organisatoriske foranstaltninger, der opfylder kravene i denne forordning, herunder med hensyn til behandlingssikkerhed. Databehandlerens overholdelse af en godkendt adfærdskodeks eller en godkendt certificeringsmekanisme kan bruges som et element til at påvise, at den dataansvarlige overholder sine forpligtelser. Bestemmelserne om behandling ved en databehandler bør fastsættes i en kontrakt eller et andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, der binder databehandleren til den dataansvarlige, og hvori behandlingens genstand og varighed, behandlingens karakter og formål, typen af personoplysninger og kategorierne af registrerede er fastsat, idet der tages hensyn til databehandleres specifikke opgaver og ansvar i forbindelse med den behandling, der skal foretages, og risikoen for den registreredes rettigheder og frihedsrettigheder. Den dataansvarlige og databehandleren kan vælge at anvende en individuel kontrakt eller standardkontraktbestemmelser, der er vedtaget enten direkte af Kommissionen eller af en tilsynsmyndighed i henhold til sammenhængsmekanismen og derefter vedtaget af Kommissionen. Databehandleren bør efter den dataansvarliges valg tilbagelevere eller slette de pågældende personoplysninger efter afslutning af den behandling, der er foretaget på vegne af den dataansvarlige, medmindre der er et krav om at opbevare personoplysningerne i EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt.

| (82) | For at påvise overholdelse af denne forordning bør den dataansvarlige eller databehandleren føre fortegnelser over behandlingsaktiviteter under sit ansvar. Hver dataansvarlig og databehandler bør have pligt til at samarbejde med tilsynsmyndigheden og efter anmodning stille disse fortegnelser til rådighed for tilsynsmyndigheden, så de kan bruges til at føre tilsyn med sådanne behandlingsaktiviteter. |
| --- | --- |

(82)

For at påvise overholdelse af denne forordning bør den dataansvarlige eller databehandleren føre fortegnelser over behandlingsaktiviteter under sit ansvar. Hver dataansvarlig og databehandler bør have pligt til at samarbejde med tilsynsmyndigheden og efter anmodning stille disse fortegnelser til rådighed for tilsynsmyndigheden, så de kan bruges til at føre tilsyn med sådanne behandlingsaktiviteter.

| (83) | For at opretholde sikkerheden og hindre behandling i strid med denne forordning bør den dataansvarlige eller databehandleren vurdere de risici, som en behandling indebærer, og gennemføre foranstaltninger, der kan begrænse disse risici, som f.eks. kryptering. Disse foranstaltninger bør under hensyntagen til det aktuelle tekniske niveau og implementeringsomkostningerne sikre et tilstrækkeligt sikkerhedsniveau, herunder fortrolighed, i forhold til risiciene og karakteren af de personoplysninger, der skal beskyttes. Ved vurderingen af datasikkerhedsrisikoen bør der tages hensyn til de risici, som behandling af personoplysninger indebærer, såsom hændelig eller ulovlig tilintetgørelse, tab, ændring eller uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet, og som navnlig kan føre til fysisk, materiel eller immateriel skade. |
| --- | --- |

(83)

For at opretholde sikkerheden og hindre behandling i strid med denne forordning bør den dataansvarlige eller databehandleren vurdere de risici, som en behandling indebærer, og gennemføre foranstaltninger, der kan begrænse disse risici, som f.eks. kryptering. Disse foranstaltninger bør under hensyntagen til det aktuelle tekniske niveau og implementeringsomkostningerne sikre et tilstrækkeligt sikkerhedsniveau, herunder fortrolighed, i forhold til risiciene og karakteren af de personoplysninger, der skal beskyttes. Ved vurderingen af datasikkerhedsrisikoen bør der tages hensyn til de risici, som behandling af personoplysninger indebærer, såsom hændelig eller ulovlig tilintetgørelse, tab, ændring eller uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet, og som navnlig kan føre til fysisk, materiel eller immateriel skade.

| (84) | For at fremme overholdelse af denne forordning bør den dataansvarlige, hvor behandlingsaktiviteter sandsynligvis indebærer en høj risiko for fysiske personers rettigheder og frihedsrettigheder, have ansvaret for at foretage en konsekvensanalyse vedrørende databeskyttelse for navnlig at vurdere denne risikos oprindelse, karakter, særegenhed og alvor. Resultatet af analysen bør tages i betragtning, når der skal træffes passende foranstaltninger med henblik på at påvise, at behandlingen af personoplysningerne overholder denne forordning. Hvis det fremgår af en konsekvensanalyse vedrørende databeskyttelse, at behandlingsaktiviteter indebærer en høj risiko, som den dataansvarlige ikke kan begrænse ved passende foranstaltninger med hensyn til tilgængelig teknologi og gennemførelsesomkostninger, bør tilsynsmyndigheden høres forud for behandlingen. |
| --- | --- |

(84)

For at fremme overholdelse af denne forordning bør den dataansvarlige, hvor behandlingsaktiviteter sandsynligvis indebærer en høj risiko for fysiske personers rettigheder og frihedsrettigheder, have ansvaret for at foretage en konsekvensanalyse vedrørende databeskyttelse for navnlig at vurdere denne risikos oprindelse, karakter, særegenhed og alvor. Resultatet af analysen bør tages i betragtning, når der skal træffes passende foranstaltninger med henblik på at påvise, at behandlingen af personoplysningerne overholder denne forordning. Hvis det fremgår af en konsekvensanalyse vedrørende databeskyttelse, at behandlingsaktiviteter indebærer en høj risiko, som den dataansvarlige ikke kan begrænse ved passende foranstaltninger med hensyn til tilgængelig teknologi og gennemførelsesomkostninger, bør tilsynsmyndigheden høres forud for behandlingen.

| (85) | Et brud på persondatasikkerheden kan, hvis det ikke håndteres på en passende og rettidig måde, påføre fysiske personer fysisk, materiel eller immateriel skade, såsom tab af kontrol over deres personoplysninger eller begrænsning af deres rettigheder, forskelsbehandling, identitetstyveri eller -svig, finansielle tab, uautoriseret ophævelse af pseudonymisering, skade på omdømme, tab af fortrolighed for oplysninger, der er omfattet af tavshedspligt, eller andre betydelige økonomiske eller sociale konsekvenser for den berørte fysiske person. Så snart den dataansvarlige bliver bekendt med, at der er sket et brud på persondatasikkerheden, bør vedkommende derfor anmelde bruddet på persondatasikkerheden til den kompetente tilsynsmyndighed uden unødig forsinkelse og om muligt senest 72 timer efter, at denne er blevet bekendt med det, medmindre den dataansvarlige i overensstemmelse med ansvarlighedsprincippet kan påvise, at bruddet på persondatasikkerheden sandsynligvis ikke indebærer risiko for fysiske personers rettigheder eller frihedsrettigheder. Hvis en sådan anmeldelse ikke kan ske inden for 72 timer, bør den ledsages af en begrundelse for forsinkelsen, og oplysningerne kan indgives trinvis uden unødig yderligere forsinkelse. |
| --- | --- |

(85)

Et brud på persondatasikkerheden kan, hvis det ikke håndteres på en passende og rettidig måde, påføre fysiske personer fysisk, materiel eller immateriel skade, såsom tab af kontrol over deres personoplysninger eller begrænsning af deres rettigheder, forskelsbehandling, identitetstyveri eller -svig, finansielle tab, uautoriseret ophævelse af pseudonymisering, skade på omdømme, tab af fortrolighed for oplysninger, der er omfattet af tavshedspligt, eller andre betydelige økonomiske eller sociale konsekvenser for den berørte fysiske person. Så snart den dataansvarlige bliver bekendt med, at der er sket et brud på persondatasikkerheden, bør vedkommende derfor anmelde bruddet på persondatasikkerheden til den kompetente tilsynsmyndighed uden unødig forsinkelse og om muligt senest 72 timer efter, at denne er blevet bekendt med det, medmindre den dataansvarlige i overensstemmelse med ansvarlighedsprincippet kan påvise, at bruddet på persondatasikkerheden sandsynligvis ikke indebærer risiko for fysiske personers rettigheder eller frihedsrettigheder. Hvis en sådan anmeldelse ikke kan ske inden for 72 timer, bør den ledsages af en begrundelse for forsinkelsen, og oplysningerne kan indgives trinvis uden unødig yderligere forsinkelse.

| (86) | Den dataansvarlige bør underrette den registrerede om et brud på persondatasikkerheden uden unødig forsinkelse, når dette brud på persondatasikkerheden sandsynligvis vil indebære en høj risiko for den fysiske persons rettigheder og frihedsrettigheder, med henblik på at give vedkommende mulighed for at træffe de fornødne forholdsregler. Underretningen bør beskrive karakteren af bruddet på persondatasikkerheden og indeholde anbefalinger til den berørte fysiske person med henblik på at begrænse de mulige skadevirkninger. Sådanne underretninger til registrerede bør gives, så snart det med rimelighed er muligt og i tæt samarbejde med tilsynsmyndigheden, i overensstemmelse med retningslinjer, der er udstukket af denne eller af andre relevante myndigheder, såsom de retshåndhævende myndigheder. Eksempelvis kræver behovet for at begrænse en umiddelbar risiko for skade omgående underretning af registrerede, mens behovet for at gennemføre passende foranstaltninger mod fortsatte eller lignende brud på persondatasikkerheden kan begrunde en længere frist for underretning. |
| --- | --- |

(86)

Den dataansvarlige bør underrette den registrerede om et brud på persondatasikkerheden uden unødig forsinkelse, når dette brud på persondatasikkerheden sandsynligvis vil indebære en høj risiko for den fysiske persons rettigheder og frihedsrettigheder, med henblik på at give vedkommende mulighed for at træffe de fornødne forholdsregler. Underretningen bør beskrive karakteren af bruddet på persondatasikkerheden og indeholde anbefalinger til den berørte fysiske person med henblik på at begrænse de mulige skadevirkninger. Sådanne underretninger til registrerede bør gives, så snart det med rimelighed er muligt og i tæt samarbejde med tilsynsmyndigheden, i overensstemmelse med retningslinjer, der er udstukket af denne eller af andre relevante myndigheder, såsom de retshåndhævende myndigheder. Eksempelvis kræver behovet for at begrænse en umiddelbar risiko for skade omgående underretning af registrerede, mens behovet for at gennemføre passende foranstaltninger mod fortsatte eller lignende brud på persondatasikkerheden kan begrunde en længere frist for underretning.

| (87) | Det bør undersøges, om alle passende teknologiske beskyttelsesforanstaltninger og organisatoriske foranstaltninger er blevet gennemført, for omgående at kunne fastslå, om et brud på persondatasikkerheden har fundet sted, og for straks at kunne informere tilsynsmyndigheden og den registrerede. Om anmeldelsen fandt sted uden unødig forsinkelse bør fastslås, under særlig hensyntagen til karakteren og alvoren af bruddet på persondatasikkerheden og dets konsekvenser og skadevirkninger for den registrerede. En sådan anmeldelse kan føre til indgriben fra tilsynsmyndigheden i overensstemmelse med dens opgaver og beføjelser i henhold til denne forordning. |
| --- | --- |

(87)

Det bør undersøges, om alle passende teknologiske beskyttelsesforanstaltninger og organisatoriske foranstaltninger er blevet gennemført, for omgående at kunne fastslå, om et brud på persondatasikkerheden har fundet sted, og for straks at kunne informere tilsynsmyndigheden og den registrerede. Om anmeldelsen fandt sted uden unødig forsinkelse bør fastslås, under særlig hensyntagen til karakteren og alvoren af bruddet på persondatasikkerheden og dets konsekvenser og skadevirkninger for den registrerede. En sådan anmeldelse kan føre til indgriben fra tilsynsmyndigheden i overensstemmelse med dens opgaver og beføjelser i henhold til denne forordning.

| (88) | Når der fastsættes nærmere regler for, hvilket format og hvilke procedurer der skal anvendes ved anmeldelse af brud på persondatasikkerheden, bør der tages hensyn til omstændighederne ved det pågældende brud, herunder om personoplysningerne var beskyttet med passende tekniske beskyttelsesforanstaltninger, der effektivt begrænser sandsynligheden for identitetssvig eller andre former for misbrug. Sådanne regler og procedurer bør endvidere tage hensyn til de retshåndhævende myndigheders legitime interesser, da en tidlig videregivelse unødigt kan hæmme undersøgelsen af omstændighederne ved et brud på persondatasikkerheden. |
| --- | --- |

(88)

Når der fastsættes nærmere regler for, hvilket format og hvilke procedurer der skal anvendes ved anmeldelse af brud på persondatasikkerheden, bør der tages hensyn til omstændighederne ved det pågældende brud, herunder om personoplysningerne var beskyttet med passende tekniske beskyttelsesforanstaltninger, der effektivt begrænser sandsynligheden for identitetssvig eller andre former for misbrug. Sådanne regler og procedurer bør endvidere tage hensyn til de retshåndhævende myndigheders legitime interesser, da en tidlig videregivelse unødigt kan hæmme undersøgelsen af omstændighederne ved et brud på persondatasikkerheden.

| (89) | Ved direktiv 95/46/EF blev der fastsat en generel forpligtelse til at anmelde behandlingen af personoplysninger til tilsynsmyndighederne. Denne forpligtelse medførte en administrativ og finansiel byrde, men den bidrog ikke i alle tilfælde til at forbedre beskyttelsen af personoplysninger. En sådan vilkårlig og generel anmeldelsespligt bør derfor afskaffes og erstattes med effektive procedurer og mekanismer, som i stedet fokuserer på de typer behandlingsaktiviteter, der sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder i medfør af deres karakter, omfang, sammenhæng og formål. Sådanne typer behandlingsaktiviteter kan være aktiviteter, der navnlig indebærer brug af ny teknologi, eller aktiviteter som er af en ny slags, og hvor den dataansvarlige endnu ikke har foretaget en konsekvensanalyse vedrørende databeskyttelse, eller hvor de er blevet nødvendige på grund af den tid, der er gået siden den oprindelige behandling. |
| --- | --- |

(89)

Ved direktiv 95/46/EF blev der fastsat en generel forpligtelse til at anmelde behandlingen af personoplysninger til tilsynsmyndighederne. Denne forpligtelse medførte en administrativ og finansiel byrde, men den bidrog ikke i alle tilfælde til at forbedre beskyttelsen af personoplysninger. En sådan vilkårlig og generel anmeldelsespligt bør derfor afskaffes og erstattes med effektive procedurer og mekanismer, som i stedet fokuserer på de typer behandlingsaktiviteter, der sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder i medfør af deres karakter, omfang, sammenhæng og formål. Sådanne typer behandlingsaktiviteter kan være aktiviteter, der navnlig indebærer brug af ny teknologi, eller aktiviteter som er af en ny slags, og hvor den dataansvarlige endnu ikke har foretaget en konsekvensanalyse vedrørende databeskyttelse, eller hvor de er blevet nødvendige på grund af den tid, der er gået siden den oprindelige behandling.

| (90) | I sådanne tilfælde bør den dataansvarlige inden behandlingen foretage en konsekvensanalyse vedrørende databeskyttelse med henblik på at vurdere den høje risikos specifikke sandsynlighed og alvor under hensyntagen til behandlingens karakter, omfang, sammenhæng og formål samt risikokilderne. Konsekvensanalysen bør navnlig omfatte de foranstaltninger, garantier og mekanismer, der er planlagt til begrænsning af denne risiko, til sikring af beskyttelsen af personoplysninger og påvisning af overholdelse af denne forordning. |
| --- | --- |

(90)

I sådanne tilfælde bør den dataansvarlige inden behandlingen foretage en konsekvensanalyse vedrørende databeskyttelse med henblik på at vurdere den høje risikos specifikke sandsynlighed og alvor under hensyntagen til behandlingens karakter, omfang, sammenhæng og formål samt risikokilderne. Konsekvensanalysen bør navnlig omfatte de foranstaltninger, garantier og mekanismer, der er planlagt til begrænsning af denne risiko, til sikring af beskyttelsen af personoplysninger og påvisning af overholdelse af denne forordning.

| (91) | Dette er især relevant i forbindelse med omfattende behandlingsaktiviteter til behandling af meget store mængder personoplysninger på regionalt, nationalt eller overnationalt plan, der kan berøre mange registrerede, og som sandsynligvis vil indebære en høj risiko, f.eks. på grund af behandlingsaktiviteternes følsomhed, hvis der i overensstemmelse med det opnåede niveau af teknologisk viden sker omfattende brug af ny teknologi, samt i forbindelse med andre behandlingsaktiviteter, der indebærer en høj risiko for registreredes rettigheder og frihedsrettigheder, navnlig hvis disse aktiviteter gør det vanskeligere for registrerede at udøve deres rettigheder. Der bør også foretages en konsekvensanalyse vedrørende databeskyttelse, hvis personoplysninger behandles med det formål at træffe afgørelser vedrørende specifikke fysiske personer efter en systematisk og omfattende vurdering af personlige forhold vedrørende fysiske personer baseret på profilering af disse oplysninger eller efter behandling af særlige kategorier af personoplysninger, biometriske data eller oplysninger om straffedomme og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger. En konsekvensanalyse vedrørende databeskyttelse er ligeledes påkrævet ved omfattende overvågning af offentligt tilgængelige områder, navnlig ved brug af optoelektronisk udstyr, eller ved alle andre aktiviteter, hvor den kompetente tilsynsmyndighed mener, at den pågældende behandling sandsynligvis indebærer en høj risiko for registreredes rettigheder og frihedsrettigheder, navnlig fordi den hindrer registrerede i at udøve en rettighed eller gøre brug af en tjeneste eller en kontrakt, eller fordi den foretages på systematisk og omfattende vis. Behandling af personoplysninger bør ikke anses for at være omfattende, hvis der er tale om en læges, sundhedspersonales eller en advokats behandling af personoplysninger om patienter eller klienter. I sådanne tilfælde bør en konsekvensanalyse vedrørende databeskyttelse ikke være obligatorisk. |
| --- | --- |

(91)

Dette er især relevant i forbindelse med omfattende behandlingsaktiviteter til behandling af meget store mængder personoplysninger på regionalt, nationalt eller overnationalt plan, der kan berøre mange registrerede, og som sandsynligvis vil indebære en høj risiko, f.eks. på grund af behandlingsaktiviteternes følsomhed, hvis der i overensstemmelse med det opnåede niveau af teknologisk viden sker omfattende brug af ny teknologi, samt i forbindelse med andre behandlingsaktiviteter, der indebærer en høj risiko for registreredes rettigheder og frihedsrettigheder, navnlig hvis disse aktiviteter gør det vanskeligere for registrerede at udøve deres rettigheder. Der bør også foretages en konsekvensanalyse vedrørende databeskyttelse, hvis personoplysninger behandles med det formål at træffe afgørelser vedrørende specifikke fysiske personer efter en systematisk og omfattende vurdering af personlige forhold vedrørende fysiske personer baseret på profilering af disse oplysninger eller efter behandling af særlige kategorier af personoplysninger, biometriske data eller oplysninger om straffedomme og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger. En konsekvensanalyse vedrørende databeskyttelse er ligeledes påkrævet ved omfattende overvågning af offentligt tilgængelige områder, navnlig ved brug af optoelektronisk udstyr, eller ved alle andre aktiviteter, hvor den kompetente tilsynsmyndighed mener, at den pågældende behandling sandsynligvis indebærer en høj risiko for registreredes rettigheder og frihedsrettigheder, navnlig fordi den hindrer registrerede i at udøve en rettighed eller gøre brug af en tjeneste eller en kontrakt, eller fordi den foretages på systematisk og omfattende vis. Behandling af personoplysninger bør ikke anses for at være omfattende, hvis der er tale om en læges, sundhedspersonales eller en advokats behandling af personoplysninger om patienter eller klienter. I sådanne tilfælde bør en konsekvensanalyse vedrørende databeskyttelse ikke være obligatorisk.

| (92) | Der kan være tilfælde, hvor det kan være rimeligt og økonomisk at foretage en konsekvensanalyse vedrørende databeskyttelse, som omfatter mere end ét enkelt projekt, f.eks. hvis offentlige myndigheder eller organer har planer om at indføre en fælles applikation eller behandlingsplatform, eller hvis flere dataansvarlige planlægger at indføre en fælles applikation eller behandlingsplatform på tværs af en industrisektor eller et industrisegment eller for en udbredt horisontal aktivitet. |
| --- | --- |

(92)

Der kan være tilfælde, hvor det kan være rimeligt og økonomisk at foretage en konsekvensanalyse vedrørende databeskyttelse, som omfatter mere end ét enkelt projekt, f.eks. hvis offentlige myndigheder eller organer har planer om at indføre en fælles applikation eller behandlingsplatform, eller hvis flere dataansvarlige planlægger at indføre en fælles applikation eller behandlingsplatform på tværs af en industrisektor eller et industrisegment eller for en udbredt horisontal aktivitet.

| (93) | I forbindelse med vedtagelsen af national lovgivning i medlemsstaterne, der udgør grundlaget for en offentlig myndigheds eller et offentligt organs udførelse af opgaver, og som regulerer den eller de pågældende specifikke behandlingsaktiviteter, kan medlemsstaterne vurdere, at en sådan analyse skal foretages inden behandlingsaktiviteterne. |
| --- | --- |

(93)

I forbindelse med vedtagelsen af national lovgivning i medlemsstaterne, der udgør grundlaget for en offentlig myndigheds eller et offentligt organs udførelse af opgaver, og som regulerer den eller de pågældende specifikke behandlingsaktiviteter, kan medlemsstaterne vurdere, at en sådan analyse skal foretages inden behandlingsaktiviteterne.

| (94) | Såfremt en konsekvensanalyse vedrørende databeskyttelse viser, at en behandling uden garantier, sikkerhedsforanstaltninger og mekanismer til at begrænse risikoen vil føre til en høj risiko for fysiske personers rettigheder og frihedsrettigheder, og den dataansvarlige mener, at risikoen ikke kan begrænses gennem rimelige midler for så vidt angår tilgængelig teknologi og gennemførelsesomkostninger, bør tilsynsmyndigheden høres inden indledning af behandlingsaktiviteterne. En sådan høj risiko vil sandsynligvis være en følge af visse typer behandling og omfanget og hyppigheden af behandlingen, der også kan føre til skade for eller indgreb i fysiske personers rettigheder og frihedsrettigheder. Tilsynsmyndigheden bør reagere på en høringsanmodning inden for et fastsat tidsrum. Tilsynsmyndighedens manglende reaktion inden for dette tidsrum bør dog ikke berøre tilsynsmyndighedens mulighed for at gribe ind i overensstemmelse med dens opgaver og beføjelser i henhold til denne forordning, herunder beføjelsen til at forbyde behandlingsaktiviteter. Som led i denne høringsproces kan resultatet af en konsekvensanalyse vedrørende databeskyttelse, der foretages for den pågældende behandling, forelægges tilsynsmyndigheden, navnlig de foranstaltninger, der påtænkes for at begrænse risikoen for fysiske personers rettigheder og frihedsrettigheder. |
| --- | --- |

(94)

Såfremt en konsekvensanalyse vedrørende databeskyttelse viser, at en behandling uden garantier, sikkerhedsforanstaltninger og mekanismer til at begrænse risikoen vil føre til en høj risiko for fysiske personers rettigheder og frihedsrettigheder, og den dataansvarlige mener, at risikoen ikke kan begrænses gennem rimelige midler for så vidt angår tilgængelig teknologi og gennemførelsesomkostninger, bør tilsynsmyndigheden høres inden indledning af behandlingsaktiviteterne. En sådan høj risiko vil sandsynligvis være en følge af visse typer behandling og omfanget og hyppigheden af behandlingen, der også kan føre til skade for eller indgreb i fysiske personers rettigheder og frihedsrettigheder. Tilsynsmyndigheden bør reagere på en høringsanmodning inden for et fastsat tidsrum. Tilsynsmyndighedens manglende reaktion inden for dette tidsrum bør dog ikke berøre tilsynsmyndighedens mulighed for at gribe ind i overensstemmelse med dens opgaver og beføjelser i henhold til denne forordning, herunder beføjelsen til at forbyde behandlingsaktiviteter. Som led i denne høringsproces kan resultatet af en konsekvensanalyse vedrørende databeskyttelse, der foretages for den pågældende behandling, forelægges tilsynsmyndigheden, navnlig de foranstaltninger, der påtænkes for at begrænse risikoen for fysiske personers rettigheder og frihedsrettigheder.

| (95) | Databehandleren bør bistå den dataansvarlige, når det er nødvendigt og efter anmodning, med at sikre overholdelse af de forpligtelser, der udspringer af foretagelse af konsekvensanalyser vedrørende databeskyttelse og forudgående høring af tilsynsmyndigheden. |
| --- | --- |

(95)

Databehandleren bør bistå den dataansvarlige, når det er nødvendigt og efter anmodning, med at sikre overholdelse af de forpligtelser, der udspringer af foretagelse af konsekvensanalyser vedrørende databeskyttelse og forudgående høring af tilsynsmyndigheden.

| (96) | Tilsynsmyndigheden bør ligeledes høres som led i udarbejdelsen af lovgivning eller regulerende foranstaltninger, som omhandler behandling af personoplysninger, med henblik på at sikre, at den planlagte behandling overholder denne forordning, og navnlig for at begrænse risiciene for den registrerede. |
| --- | --- |

(96)

Tilsynsmyndigheden bør ligeledes høres som led i udarbejdelsen af lovgivning eller regulerende foranstaltninger, som omhandler behandling af personoplysninger, med henblik på at sikre, at den planlagte behandling overholder denne forordning, og navnlig for at begrænse risiciene for den registrerede.

| (97) | Hvis behandling foretages af en offentlig myndighed, bortset fra domstole eller andre uafhængige judicielle myndigheder, når de handler i deres egenskab af domstol, hvis behandling i den private sektor foretages af en dataansvarlig, hvis kerneaktiviteter består i behandlingsaktiviteter, som kræver regelmæssig og systematisk overvågning af de registrerede i stort omfang, eller hvis den dataansvarliges eller databehandlerens kerneaktiviteter består af behandling i stort omfang af særlige kategorier af oplysninger og oplysninger vedrørende straffedomme og lovovertrædelser, bør en person med ekspertise i databeskyttelsesret og -praksis bistå den dataansvarlige eller databehandleren med at overvåge den interne overholdelse af denne forordning. I den private sektor vedrører en dataansvarligs kerneaktiviteter vedkommendes hovedaktiviteter og ikke behandling af personoplysninger som biaktivitet. Den nødvendige ekspertise bør navnlig fastlægges i henhold til de databehandlingsaktiviteter, der foretages, og den beskyttelse de personoplysninger, som den dataansvarlige eller databehandleren behandler, kræver. Sådanne databeskyttelsesrådgivere bør, uanset om de er ansat hos den dataansvarlige eller ej, være i stand til at udøve deres hverv på uafhængig vis. |
| --- | --- |

(97)

Hvis behandling foretages af en offentlig myndighed, bortset fra domstole eller andre uafhængige judicielle myndigheder, når de handler i deres egenskab af domstol, hvis behandling i den private sektor foretages af en dataansvarlig, hvis kerneaktiviteter består i behandlingsaktiviteter, som kræver regelmæssig og systematisk overvågning af de registrerede i stort omfang, eller hvis den dataansvarliges eller databehandlerens kerneaktiviteter består af behandling i stort omfang af særlige kategorier af oplysninger og oplysninger vedrørende straffedomme og lovovertrædelser, bør en person med ekspertise i databeskyttelsesret og -praksis bistå den dataansvarlige eller databehandleren med at overvåge den interne overholdelse af denne forordning. I den private sektor vedrører en dataansvarligs kerneaktiviteter vedkommendes hovedaktiviteter og ikke behandling af personoplysninger som biaktivitet. Den nødvendige ekspertise bør navnlig fastlægges i henhold til de databehandlingsaktiviteter, der foretages, og den beskyttelse de personoplysninger, som den dataansvarlige eller databehandleren behandler, kræver. Sådanne databeskyttelsesrådgivere bør, uanset om de er ansat hos den dataansvarlige eller ej, være i stand til at udøve deres hverv på uafhængig vis.

| (98) | Sammenslutninger eller andre organer, der repræsenterer kategorier af dataansvarlige eller databehandlere, bør opfordres til at udarbejde adfærdskodekser inden for rammerne af denne forordning med henblik på at fremme en effektiv anvendelse af denne forordning under hensyntagen til de specifikke typer af behandling, der foretages i visse sektorer, og de særlige behov hos mikrovirksomheder og små og mellemstore virksomheder. Sådanne adfærdskodekser bør navnlig kunne justere dataansvarliges og databehandleres forpligtelser, så der tages hensyn til den risiko, som sandsynligvis vil følge af behandlingen for fysiske personers rettigheder og frihedsrettigheder. |
| --- | --- |

(98)

Sammenslutninger eller andre organer, der repræsenterer kategorier af dataansvarlige eller databehandlere, bør opfordres til at udarbejde adfærdskodekser inden for rammerne af denne forordning med henblik på at fremme en effektiv anvendelse af denne forordning under hensyntagen til de specifikke typer af behandling, der foretages i visse sektorer, og de særlige behov hos mikrovirksomheder og små og mellemstore virksomheder. Sådanne adfærdskodekser bør navnlig kunne justere dataansvarliges og databehandleres forpligtelser, så der tages hensyn til den risiko, som sandsynligvis vil følge af behandlingen for fysiske personers rettigheder og frihedsrettigheder.

| (99) | Under udarbejdelsen af en adfærdskodeks eller i forbindelse med ændring eller udvidelse af en sådan kodeks bør sammenslutninger og andre organer, der repræsenterer kategorier af dataansvarlige eller databehandlere, høre relevante interessenter, herunder i muligt omfang registrerede, og tage hensyn til bemærkninger og synspunkter, der er fremsat som svar på sådanne høringer. |
| --- | --- |

(99)

Under udarbejdelsen af en adfærdskodeks eller i forbindelse med ændring eller udvidelse af en sådan kodeks bør sammenslutninger og andre organer, der repræsenterer kategorier af dataansvarlige eller databehandlere, høre relevante interessenter, herunder i muligt omfang registrerede, og tage hensyn til bemærkninger og synspunkter, der er fremsat som svar på sådanne høringer.

| (100) | For at forbedre gennemsigtigheden og overholdelsen af denne forordning bør fastlæggelsen af certificeringsmekanismer og databeskyttelsesmærkninger og -mærker fremmes, så registrerede hurtigt kan vurdere databeskyttelsesniveauet i forbindelse med relevante produkter og tjenester. |
| --- | --- |

(100)

For at forbedre gennemsigtigheden og overholdelsen af denne forordning bør fastlæggelsen af certificeringsmekanismer og databeskyttelsesmærkninger og -mærker fremmes, så registrerede hurtigt kan vurdere databeskyttelsesniveauet i forbindelse med relevante produkter og tjenester.

| (101) | Strømmen af personoplysninger til og fra lande uden for Unionen og til og fra internationale organisationer er nødvendig af hensyn til udbygningen af den internationale samhandel og det internationale samarbejde. Udvidelsen af denne strøm har skabt nye udfordringer og betænkeligheder med hensyn til beskyttelsen af personoplysninger. Når personoplysninger overføres fra Unionen til dataansvarlige, databehandlere eller andre modtagere i tredjelande eller til internationale organisationer, må det beskyttelsesniveau, som fysiske personer sikres i Unionen i medfør af denne forordning, dog ikke undermineres, herunder i tilfælde af videreoverførsel af personoplysninger fra et tredjeland eller en international organisation til dataansvarlige, databehandlere i det samme eller et andet tredjeland eller en anden international organisation. Overførsel til tredjelande og internationale organisationer må under alle omstændigheder kun finde sted under fuld overholdelse af denne forordning. En overførsel vil kun kunne finde sted, hvis den dataansvarlige eller databehandleren opfylder betingelserne i denne forordning vedrørende overførsel af personoplysninger til tredjelande eller internationale organisationer, jf. dog de øvrige bestemmelser i denne forordning. |
| --- | --- |

(101)

Strømmen af personoplysninger til og fra lande uden for Unionen og til og fra internationale organisationer er nødvendig af hensyn til udbygningen af den internationale samhandel og det internationale samarbejde. Udvidelsen af denne strøm har skabt nye udfordringer og betænkeligheder med hensyn til beskyttelsen af personoplysninger. Når personoplysninger overføres fra Unionen til dataansvarlige, databehandlere eller andre modtagere i tredjelande eller til internationale organisationer, må det beskyttelsesniveau, som fysiske personer sikres i Unionen i medfør af denne forordning, dog ikke undermineres, herunder i tilfælde af videreoverførsel af personoplysninger fra et tredjeland eller en international organisation til dataansvarlige, databehandlere i det samme eller et andet tredjeland eller en anden international organisation. Overførsel til tredjelande og internationale organisationer må under alle omstændigheder kun finde sted under fuld overholdelse af denne forordning. En overførsel vil kun kunne finde sted, hvis den dataansvarlige eller databehandleren opfylder betingelserne i denne forordning vedrørende overførsel af personoplysninger til tredjelande eller internationale organisationer, jf. dog de øvrige bestemmelser i denne forordning.

| (102) | Denne forordning berører ikke internationale aftaler indgået mellem Unionen og tredjelande om overførsel af personoplysninger, herunder de fornødne garantier for registrerede. Medlemsstaterne kan indgå internationale aftaler, som omfatter overførsel af personoplysninger til tredjelande eller internationale organisationer, for så vidt sådanne aftaler ikke berører denne forordning eller andre bestemmelser i EU-retten og omfatter et passende beskyttelsesniveau for registreredes grundlæggende rettigheder. |
| --- | --- |

(102)

Denne forordning berører ikke internationale aftaler indgået mellem Unionen og tredjelande om overførsel af personoplysninger, herunder de fornødne garantier for registrerede. Medlemsstaterne kan indgå internationale aftaler, som omfatter overførsel af personoplysninger til tredjelande eller internationale organisationer, for så vidt sådanne aftaler ikke berører denne forordning eller andre bestemmelser i EU-retten og omfatter et passende beskyttelsesniveau for registreredes grundlæggende rettigheder.

| (103) | Kommissionen kan med virkning for hele Unionen træffe afgørelse om, at et tredjeland, et område eller en specifik sektor i et tredjeland, eller en international organisation har et tilstrækkeligt databeskyttelsesniveau, og dermed skabe retssikkerhed og ensartethed i hele Unionen hvad angår det tredjeland eller den internationale organisation, der vurderes at have et sådant beskyttelsesniveau. I sådanne tilfælde kan personoplysninger overføres til det pågældende tredjeland uden yderligere godkendelse. Kommissionen kan også træffe afgørelse om at tilbagekalde en sådan afgørelse efter at have underrettet og fyldestgørende begrundet det over for det pågældende tredjeland eller den pågældende internationale organisation. |
| --- | --- |

(103)

Kommissionen kan med virkning for hele Unionen træffe afgørelse om, at et tredjeland, et område eller en specifik sektor i et tredjeland, eller en international organisation har et tilstrækkeligt databeskyttelsesniveau, og dermed skabe retssikkerhed og ensartethed i hele Unionen hvad angår det tredjeland eller den internationale organisation, der vurderes at have et sådant beskyttelsesniveau. I sådanne tilfælde kan personoplysninger overføres til det pågældende tredjeland uden yderligere godkendelse. Kommissionen kan også træffe afgørelse om at tilbagekalde en sådan afgørelse efter at have underrettet og fyldestgørende begrundet det over for det pågældende tredjeland eller den pågældende internationale organisation.

| (104) | I overensstemmelse med de grundlæggende værdier, som Unionen bygger på, navnlig beskyttelse af menneskerettighederne, bør Kommissionen i sin vurdering af et tredjeland eller et område eller en specifik sektor i et tredjeland tage hensyn til, hvordan et bestemt tredjeland efterlever retsstatsprincippet, klageadgang og domstolsprøvelse, internationale menneskerettighedsnormer og -standarder samt sin generelle og sektorbestemte ret, herunder lovgivning vedrørende offentlig sikkerhed, forsvar, statens sikkerhed samt offentlig orden og strafferet. Når der vedtages en afgørelse om tilstrækkeligheden af beskyttelsesniveauet i et område eller en specifik sektor i et tredjeland, bør der tages hensyn til klare og objektive kriterier, som f.eks. specifikke behandlingsaktiviteter og anvendelsesområdet for gældende retsstandarder og lovgivning i tredjelandet. Tredjelandet bør give garantier, der sikrer et passende beskyttelsesniveau, som i det væsentlige svarer til det, der sikres i Unionen, især når personoplysninger behandles i en eller flere specifikke sektorer. Tredjelandet bør navnlig sikre et effektivt uafhængigt databeskyttelsestilsyn og bør fastlægge samarbejdsmekanismer med medlemsstaternes databeskyttelsesmyndigheder, og de registrerede bør have effektive rettigheder, som kan håndhæves, og adgang til effektiv administrativ og retslig prøvelse. |
| --- | --- |

(104)

I overensstemmelse med de grundlæggende værdier, som Unionen bygger på, navnlig beskyttelse af menneskerettighederne, bør Kommissionen i sin vurdering af et tredjeland eller et område eller en specifik sektor i et tredjeland tage hensyn til, hvordan et bestemt tredjeland efterlever retsstatsprincippet, klageadgang og domstolsprøvelse, internationale menneskerettighedsnormer og -standarder samt sin generelle og sektorbestemte ret, herunder lovgivning vedrørende offentlig sikkerhed, forsvar, statens sikkerhed samt offentlig orden og strafferet. Når der vedtages en afgørelse om tilstrækkeligheden af beskyttelsesniveauet i et område eller en specifik sektor i et tredjeland, bør der tages hensyn til klare og objektive kriterier, som f.eks. specifikke behandlingsaktiviteter og anvendelsesområdet for gældende retsstandarder og lovgivning i tredjelandet. Tredjelandet bør give garantier, der sikrer et passende beskyttelsesniveau, som i det væsentlige svarer til det, der sikres i Unionen, især når personoplysninger behandles i en eller flere specifikke sektorer. Tredjelandet bør navnlig sikre et effektivt uafhængigt databeskyttelsestilsyn og bør fastlægge samarbejdsmekanismer med medlemsstaternes databeskyttelsesmyndigheder, og de registrerede bør have effektive rettigheder, som kan håndhæves, og adgang til effektiv administrativ og retslig prøvelse.

| (105) | Ud over de internationale forpligtelser, som tredjelandet eller den internationale organisation har indgået, bør Kommissionen tage hensyn til forpligtelser, der følger af tredjelandets eller den internationale organisations deltagelse i multilaterale eller regionale systemer, navnlig i forbindelse med beskyttelse af personoplysninger, samt gennemførelsen af sådanne forpligtelser. Der bør navnlig tages hensyn til tredjelandets tiltrædelse af Europarådets konvention af 28. januar 1981 om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger og tillægsprotokollen hertil. Kommissionen bør høre Databeskyttelsesrådet, når den vurderer beskyttelsesniveauet i tredjelande eller internationale organisationer. |
| --- | --- |

(105)

Ud over de internationale forpligtelser, som tredjelandet eller den internationale organisation har indgået, bør Kommissionen tage hensyn til forpligtelser, der følger af tredjelandets eller den internationale organisations deltagelse i multilaterale eller regionale systemer, navnlig i forbindelse med beskyttelse af personoplysninger, samt gennemførelsen af sådanne forpligtelser. Der bør navnlig tages hensyn til tredjelandets tiltrædelse af Europarådets konvention af 28. januar 1981 om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger og tillægsprotokollen hertil. Kommissionen bør høre Databeskyttelsesrådet, når den vurderer beskyttelsesniveauet i tredjelande eller internationale organisationer.

| (106) | Kommissionen bør overvåge virkningen af afgørelser om beskyttelsesniveauet i et tredjeland, et område eller en specifik sektor i et tredjeland, eller en international organisation, og overvåge virkningen af afgørelser vedtaget på grundlag af artikel 25, stk. 6, eller artikel 26, stk. 4, i direktiv 95/46/EF. I sine afgørelser om tilstrækkeligheden af beskyttelsesniveauet bør Kommissionen fastsætte en mekanisme for regelmæssig revision af afgørelsernes virkning. Denne regelmæssige revision bør foretages i samråd med det pågældende tredjeland eller den pågældende internationale organisation og tage hensyn til enhver relevant udvikling i tredjelandet eller den internationale organisation. I forbindelse med overvågning og den regelmæssige revision bør Kommissionen tage hensyn til synspunkter og resultater fra Europa-Parlamentet og fra Rådet såvel som fra andre relevante organer og kilder. Kommissionen bør inden for en rimelig frist evaluere virkningen af sidstnævnte afgørelser og rapportere alle relevante resultater til det udvalg som er omhandlet i Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 (12), der nedsættes ved nærværende forordning, og til Europa-Parlamentet og Rådet. |
| --- | --- |

(106)

Kommissionen bør overvåge virkningen af afgørelser om beskyttelsesniveauet i et tredjeland, et område eller en specifik sektor i et tredjeland, eller en international organisation, og overvåge virkningen af afgørelser vedtaget på grundlag af artikel 25, stk. 6, eller artikel 26, stk. 4, i direktiv 95/46/EF. I sine afgørelser om tilstrækkeligheden af beskyttelsesniveauet bør Kommissionen fastsætte en mekanisme for regelmæssig revision af afgørelsernes virkning. Denne regelmæssige revision bør foretages i samråd med det pågældende tredjeland eller den pågældende internationale organisation og tage hensyn til enhver relevant udvikling i tredjelandet eller den internationale organisation. I forbindelse med overvågning og den regelmæssige revision bør Kommissionen tage hensyn til synspunkter og resultater fra Europa-Parlamentet og fra Rådet såvel som fra andre relevante organer og kilder. Kommissionen bør inden for en rimelig frist evaluere virkningen af sidstnævnte afgørelser og rapportere alle relevante resultater til det udvalg som er omhandlet i Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 (12), der nedsættes ved nærværende forordning, og til Europa-Parlamentet og Rådet.

| (107) | Kommissionen kan fastslå, at et tredjeland, et område eller en specifik sektor i et tredjeland, eller en international organisation ikke længere sikrer et tilstrækkeligt databeskyttelsesniveau. Overførsel af personoplysninger til et sådant tredjeland eller en sådan international organisation bør derfor forbydes, medmindre kravene i denne forordning vedrørende overførsel omfattet af fornødne garantier, herunder bindende virksomhedsregler og undtagelser i særlige situationer, er opfyldt. Der bør i sådanne tilfælde fastlægges bestemmelser om en procedure for konsultationer mellem Kommissionen og sådanne tredjelande eller internationale organisationer. Kommissionen bør rettidigt underrette tredjelandet eller den internationale organisation om årsagerne og indlede konsultationer med tredjelandet eller den internationale organisation for at afhjælpe situationen. |
| --- | --- |

(107)

Kommissionen kan fastslå, at et tredjeland, et område eller en specifik sektor i et tredjeland, eller en international organisation ikke længere sikrer et tilstrækkeligt databeskyttelsesniveau. Overførsel af personoplysninger til et sådant tredjeland eller en sådan international organisation bør derfor forbydes, medmindre kravene i denne forordning vedrørende overførsel omfattet af fornødne garantier, herunder bindende virksomhedsregler og undtagelser i særlige situationer, er opfyldt. Der bør i sådanne tilfælde fastlægges bestemmelser om en procedure for konsultationer mellem Kommissionen og sådanne tredjelande eller internationale organisationer. Kommissionen bør rettidigt underrette tredjelandet eller den internationale organisation om årsagerne og indlede konsultationer med tredjelandet eller den internationale organisation for at afhjælpe situationen.

| (108) | I mangel af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet bør den dataansvarlige eller databehandleren træffe foranstaltninger for at kompensere for den manglende databeskyttelse i et tredjeland i form af fornødne garantier for den registrerede. Sådanne fornødne garantier kan bestå i anvendelse af bindende virksomhedsregler, standardbestemmelser om databeskyttelse vedtaget af Kommissionen, standardbestemmelser om databeskyttelse vedtaget af en tilsynsmyndighed eller kontraktbestemmelser godkendt af en tilsynsmyndighed. Disse garantier bør sikre overholdelse af databeskyttelseskravene og de registreredes rettigheder i forbindelse med intern behandling i Unionen, herunder tilgængelighed af rettigheder, som kan håndhæves, for registrerede og effektive retsmidler, herunder til at opnå effektiv administrativ eller retslig prøvelse og til at kræve erstatning, i Unionen eller et tredjeland. Garantierne bør navnlig vedrøre overholdelse af de generelle principper for behandling af personoplysninger og principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger. Overførsel kan også foretages af offentlige myndigheder eller organer til offentlige myndigheder eller organer i tredjelande eller til internationale organisationer med tilsvarende opgaver eller funktioner, herunder på grundlag af bestemmelser, der medtages i administrative ordninger, f.eks. et aftalememorandum, hvorved de registrerede sikres effektive rettigheder, som kan håndhæves. Godkendelse fra den kompetente tilsynsmyndighed bør indhentes, når garantierne indgår i administrative ordninger, der ikke er juridisk bindende. |
| --- | --- |

(108)

I mangel af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet bør den dataansvarlige eller databehandleren træffe foranstaltninger for at kompensere for den manglende databeskyttelse i et tredjeland i form af fornødne garantier for den registrerede. Sådanne fornødne garantier kan bestå i anvendelse af bindende virksomhedsregler, standardbestemmelser om databeskyttelse vedtaget af Kommissionen, standardbestemmelser om databeskyttelse vedtaget af en tilsynsmyndighed eller kontraktbestemmelser godkendt af en tilsynsmyndighed. Disse garantier bør sikre overholdelse af databeskyttelseskravene og de registreredes rettigheder i forbindelse med intern behandling i Unionen, herunder tilgængelighed af rettigheder, som kan håndhæves, for registrerede og effektive retsmidler, herunder til at opnå effektiv administrativ eller retslig prøvelse og til at kræve erstatning, i Unionen eller et tredjeland. Garantierne bør navnlig vedrøre overholdelse af de generelle principper for behandling af personoplysninger og principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger. Overførsel kan også foretages af offentlige myndigheder eller organer til offentlige myndigheder eller organer i tredjelande eller til internationale organisationer med tilsvarende opgaver eller funktioner, herunder på grundlag af bestemmelser, der medtages i administrative ordninger, f.eks. et aftalememorandum, hvorved de registrerede sikres effektive rettigheder, som kan håndhæves. Godkendelse fra den kompetente tilsynsmyndighed bør indhentes, når garantierne indgår i administrative ordninger, der ikke er juridisk bindende.

| (109) | Den dataansvarliges eller databehandlerens mulighed for at bruge standardbestemmelser om databeskyttelse vedtaget af Kommissionen eller en tilsynsmyndighed bør hverken udelukke muligheden for, at den dataansvarlige eller databehandleren medtager standardbestemmelser om databeskyttelse i en bredere kontrakt, såsom en kontrakt mellem databehandleren og en anden databehandler, eller medtager andre bestemmelser eller yderligere garantier, såfremt de hverken direkte eller indirekte er i strid med de standardkontraktbestemmelser, der er vedtaget af Kommissionen eller en tilsynsmyndighed, eller berører de registreredes grundlæggende rettigheder eller frihedsrettigheder. Dataansvarlige og databehandlere bør tilskyndes til at give yderligere garantier gennem kontraktmæssige forpligtelser, der supplerer standardbestemmelserne om beskyttelse. |
| --- | --- |

(109)

Den dataansvarliges eller databehandlerens mulighed for at bruge standardbestemmelser om databeskyttelse vedtaget af Kommissionen eller en tilsynsmyndighed bør hverken udelukke muligheden for, at den dataansvarlige eller databehandleren medtager standardbestemmelser om databeskyttelse i en bredere kontrakt, såsom en kontrakt mellem databehandleren og en anden databehandler, eller medtager andre bestemmelser eller yderligere garantier, såfremt de hverken direkte eller indirekte er i strid med de standardkontraktbestemmelser, der er vedtaget af Kommissionen eller en tilsynsmyndighed, eller berører de registreredes grundlæggende rettigheder eller frihedsrettigheder. Dataansvarlige og databehandlere bør tilskyndes til at give yderligere garantier gennem kontraktmæssige forpligtelser, der supplerer standardbestemmelserne om beskyttelse.

| (110) | En koncern eller en gruppe af foretagender, der udøver en fælles økonomisk aktivitet, bør kunne benytte godkendte bindende virksomhedsregler for sine internationale overførsler fra Unionen til organisationer inden for samme koncern eller gruppe af foretagender, der udøver en fælles økonomisk aktivitet, forudsat at sådanne virksomhedsregler omfatter alle væsentlige principper og rettigheder, som kan håndhæves, med henblik på at sikre de fornødne garantier for overførsel eller kategorier af overførsler af personoplysninger. |
| --- | --- |

(110)

En koncern eller en gruppe af foretagender, der udøver en fælles økonomisk aktivitet, bør kunne benytte godkendte bindende virksomhedsregler for sine internationale overførsler fra Unionen til organisationer inden for samme koncern eller gruppe af foretagender, der udøver en fælles økonomisk aktivitet, forudsat at sådanne virksomhedsregler omfatter alle væsentlige principper og rettigheder, som kan håndhæves, med henblik på at sikre de fornødne garantier for overførsel eller kategorier af overførsler af personoplysninger.

| (111) | Overførsel bør tillades under visse omstændigheder, når den registrerede har givet sit udtrykkelige samtykke, og hvor overførsel er lejlighedsvis og nødvendig i forbindelse med en kontrakt eller et retskrav, uanset om det sker i forbindelse med en retssag eller en administrativ eller udenretslig procedure, herunder procedurer ved reguleringsorganer. Overførsel bør også tillades, når vigtige samfundsinteresser i henhold til EU-retten eller medlemsstaternes nationale ret kræver det, eller når overførsel sker fra et register, der er oprettet ved lov, og som er tilgængeligt for offentligheden eller personer med en legitim interesse. I sidstnævnte tilfælde bør sådan overførsel ikke omfatte alle personoplysningerne eller alle kategorier af oplysninger i registeret, og når registeret er beregnet til at blive konsulteret af personer, der har en legitim interesse, bør overførsel under fuld hensyntagen til den registreredes interesser og grundlæggende rettigheder kun ske på anmodning af disse personer, eller hvis de skal være modtagere. |
| --- | --- |

(111)

Overførsel bør tillades under visse omstændigheder, når den registrerede har givet sit udtrykkelige samtykke, og hvor overførsel er lejlighedsvis og nødvendig i forbindelse med en kontrakt eller et retskrav, uanset om det sker i forbindelse med en retssag eller en administrativ eller udenretslig procedure, herunder procedurer ved reguleringsorganer. Overførsel bør også tillades, når vigtige samfundsinteresser i henhold til EU-retten eller medlemsstaternes nationale ret kræver det, eller når overførsel sker fra et register, der er oprettet ved lov, og som er tilgængeligt for offentligheden eller personer med en legitim interesse. I sidstnævnte tilfælde bør sådan overførsel ikke omfatte alle personoplysningerne eller alle kategorier af oplysninger i registeret, og når registeret er beregnet til at blive konsulteret af personer, der har en legitim interesse, bør overførsel under fuld hensyntagen til den registreredes interesser og grundlæggende rettigheder kun ske på anmodning af disse personer, eller hvis de skal være modtagere.

| (112) | Disse fravigelser bør navnlig gælde for overførsel af oplysninger, der foretages af hensyn til vigtige samfundsinteresser, f.eks. international udveksling af oplysninger mellem konkurrencemyndigheder, skatte- eller toldforvaltninger, finansielle tilsynsmyndigheder eller socialsikringsmyndigheder eller med henblik på folkesundhed, f.eks. i tilfælde af kontaktopsporing i forbindelse med smitsomme sygdomme eller for at nedbringe og/eller afskaffe doping inden for sport. Overførsel af personoplysninger, der er nødvendig for at beskytte et hensyn af fundamental betydning for den registreredes eller en anden persons vitale interesser, herunder fysisk integritet eller liv, bør ligeledes anses for lovlig, hvis den registrerede er ude af stand til at give sit samtykke. I mangel af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet kan EU-retten eller medlemsstaternes nationale ret af hensyn til vigtige samfundsinteresser udtrykkelig fastsætte grænser for overførsel af særlige kategorier af oplysninger til et tredjeland eller en international organisation. Medlemsstaterne bør give Kommissionen meddelelse om sådanne bestemmelser. Enhver overførsel til en international humanitær organisation af personoplysninger om en registreret, der ikke fysisk eller juridisk er i stand til at give sit samtykke, med henblik på udførelse af en opgave i henhold til Genèvekonventionerne eller for at overholde international humanitær ret, som finder anvendelse i væbnede konflikter, kan anses for at være nødvendig af hensyn til vigtige samfundsinteresser, eller fordi det er af vital interesse for den registrerede. |
| --- | --- |

(112)

Disse fravigelser bør navnlig gælde for overførsel af oplysninger, der foretages af hensyn til vigtige samfundsinteresser, f.eks. international udveksling af oplysninger mellem konkurrencemyndigheder, skatte- eller toldforvaltninger, finansielle tilsynsmyndigheder eller socialsikringsmyndigheder eller med henblik på folkesundhed, f.eks. i tilfælde af kontaktopsporing i forbindelse med smitsomme sygdomme eller for at nedbringe og/eller afskaffe doping inden for sport. Overførsel af personoplysninger, der er nødvendig for at beskytte et hensyn af fundamental betydning for den registreredes eller en anden persons vitale interesser, herunder fysisk integritet eller liv, bør ligeledes anses for lovlig, hvis den registrerede er ude af stand til at give sit samtykke. I mangel af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet kan EU-retten eller medlemsstaternes nationale ret af hensyn til vigtige samfundsinteresser udtrykkelig fastsætte grænser for overførsel af særlige kategorier af oplysninger til et tredjeland eller en international organisation. Medlemsstaterne bør give Kommissionen meddelelse om sådanne bestemmelser. Enhver overførsel til en international humanitær organisation af personoplysninger om en registreret, der ikke fysisk eller juridisk er i stand til at give sit samtykke, med henblik på udførelse af en opgave i henhold til Genèvekonventionerne eller for at overholde international humanitær ret, som finder anvendelse i væbnede konflikter, kan anses for at være nødvendig af hensyn til vigtige samfundsinteresser, eller fordi det er af vital interesse for den registrerede.

| (113) | Overførsler, der ikke kan betegnes som værende præget af gentagelser, og som kun vedrører et begrænset antal registrerede, kan også være mulig af hensyn til vægtige legitime interesser, som forfølges af den dataansvarlige, hvis den registreredes interesser eller rettigheder og frihedsrettigheder ikke går forud for disse interesser, og hvis den dataansvarlige har vurderet alle omstændigheder i forbindelse med overførslen. Den dataansvarlige bør lægge særlig vægt på de pågældende personoplysningers karakter, formålet med og varigheden af den eller de foreslåede behandlinger samt situationen i oprindelseslandet, tredjelandet og det endelige bestemmelsesland og bør give fornødne garantier for beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder med hensyn til behandling af deres personoplysninger. Sådan overførsel bør kun være mulig i enkelttilfælde, hvor ingen af de andre grunde til overførsel kan finde anvendelse. Med henblik på videnskabelige eller historiske forskningsformål eller statistiske formål bør samfundets legitime forventninger om øget viden tages med i overvejelserne. Den dataansvarlige bør underrette tilsynsmyndigheden og den registrerede om overførslen. |
| --- | --- |

(113)

Overførsler, der ikke kan betegnes som værende præget af gentagelser, og som kun vedrører et begrænset antal registrerede, kan også være mulig af hensyn til vægtige legitime interesser, som forfølges af den dataansvarlige, hvis den registreredes interesser eller rettigheder og frihedsrettigheder ikke går forud for disse interesser, og hvis den dataansvarlige har vurderet alle omstændigheder i forbindelse med overførslen. Den dataansvarlige bør lægge særlig vægt på de pågældende personoplysningers karakter, formålet med og varigheden af den eller de foreslåede behandlinger samt situationen i oprindelseslandet, tredjelandet og det endelige bestemmelsesland og bør give fornødne garantier for beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder med hensyn til behandling af deres personoplysninger. Sådan overførsel bør kun være mulig i enkelttilfælde, hvor ingen af de andre grunde til overførsel kan finde anvendelse. Med henblik på videnskabelige eller historiske forskningsformål eller statistiske formål bør samfundets legitime forventninger om øget viden tages med i overvejelserne. Den dataansvarlige bør underrette tilsynsmyndigheden og den registrerede om overførslen.

| (114) | Hvis Kommissionen ikke har truffet afgørelse om tilstrækkeligheden af databeskyttelsesniveauet i et tredjeland, bør den dataansvarlige eller databehandleren under alle omstændigheder benytte løsninger, der giver de registrerede effektive rettigheder, som kan håndhæves, hvad angår behandlingen af deres personoplysninger i Unionen, når disse oplysninger er blevet overført, så de fortsat vil nyde godt af grundlæggende rettigheder og garantier. |
| --- | --- |

(114)

Hvis Kommissionen ikke har truffet afgørelse om tilstrækkeligheden af databeskyttelsesniveauet i et tredjeland, bør den dataansvarlige eller databehandleren under alle omstændigheder benytte løsninger, der giver de registrerede effektive rettigheder, som kan håndhæves, hvad angår behandlingen af deres personoplysninger i Unionen, når disse oplysninger er blevet overført, så de fortsat vil nyde godt af grundlæggende rettigheder og garantier.

| (115) | Visse tredjelande vedtager love, forskrifter og andre retsakter med det formål direkte at regulere behandlingsaktiviteter udøvet af fysiske og juridiske personer under medlemsstaternes jurisdiktion. Dette kan omfatte retsafgørelser eller administrative myndigheders afgørelser i tredjelande, der kræver, at en dataansvarlig eller en databehandler overfører personoplysninger, og som ikke er baseret på en gældende international aftale som en traktat om gensidig retshjælp mellem det anmodende tredjeland og Unionen eller en medlemsstat. Ekstraterritorial anvendelse af sådanne love, forskrifter og andre retsakter kan være i strid med folkeretten og hindre opnåelse af den beskyttelse af fysiske personer, der sikres i Unionen ved denne forordning. Overførsel af oplysninger bør kun tillades, hvis denne forordnings betingelser for overførsel til tredjelande er opfyldt. Det kan være tilfældet, bl.a. hvis videregivelse er nødvendig af hensyn til vigtige samfundsinteresser, der anerkendes i EU-retten eller medlemsstaternes nationale ret, som den dataansvarlige er omfattet af. |
| --- | --- |

(115)

Visse tredjelande vedtager love, forskrifter og andre retsakter med det formål direkte at regulere behandlingsaktiviteter udøvet af fysiske og juridiske personer under medlemsstaternes jurisdiktion. Dette kan omfatte retsafgørelser eller administrative myndigheders afgørelser i tredjelande, der kræver, at en dataansvarlig eller en databehandler overfører personoplysninger, og som ikke er baseret på en gældende international aftale som en traktat om gensidig retshjælp mellem det anmodende tredjeland og Unionen eller en medlemsstat. Ekstraterritorial anvendelse af sådanne love, forskrifter og andre retsakter kan være i strid med folkeretten og hindre opnåelse af den beskyttelse af fysiske personer, der sikres i Unionen ved denne forordning. Overførsel af oplysninger bør kun tillades, hvis denne forordnings betingelser for overførsel til tredjelande er opfyldt. Det kan være tilfældet, bl.a. hvis videregivelse er nødvendig af hensyn til vigtige samfundsinteresser, der anerkendes i EU-retten eller medlemsstaternes nationale ret, som den dataansvarlige er omfattet af.

| (116) | Når personoplysninger overføres på tværs af grænser uden for Unionen, kan det medføre yderligere risici for fysiske personers mulighed for at udøve deres databeskyttelsesrettigheder og beskytte sig mod ulovlig brug eller videregivelse af disse oplysninger. Samtidig må tilsynsmyndighederne i nogle tilfælde konstatere, at de er ude af stand til at følge op på klager eller foretage undersøgelser vedrørende aktiviteter uden for deres grænser. Samarbejdet på tværs af grænserne kan også hæmmes af utilstrækkelige forebyggende eller afhjælpende beføjelser, uensartede retlige ordninger og praktiske hindringer som f.eks. ressourcebegrænsninger. Der er derfor behov for at fremme tættere samarbejde mellem datatilsynsmyndigheder, så de bedre kan udveksle oplysninger og gennemføre undersøgelser sammen med de tilsvarende internationale organer. Med henblik på at udvikle mekanismer for internationalt samarbejde for at lette og yde international gensidig bistand til håndhævelsen af lovgivning om beskyttelse af personoplysninger bør Kommissionen og tilsynsmyndighederne udveksle oplysninger og samarbejde om aktiviteter i forbindelse med udøvelsen af deres beføjelser med de kompetente myndigheder i tredjelande på grundlag af gensidighed og i overensstemmelse med denne forordning. |
| --- | --- |

(116)

Når personoplysninger overføres på tværs af grænser uden for Unionen, kan det medføre yderligere risici for fysiske personers mulighed for at udøve deres databeskyttelsesrettigheder og beskytte sig mod ulovlig brug eller videregivelse af disse oplysninger. Samtidig må tilsynsmyndighederne i nogle tilfælde konstatere, at de er ude af stand til at følge op på klager eller foretage undersøgelser vedrørende aktiviteter uden for deres grænser. Samarbejdet på tværs af grænserne kan også hæmmes af utilstrækkelige forebyggende eller afhjælpende beføjelser, uensartede retlige ordninger og praktiske hindringer som f.eks. ressourcebegrænsninger. Der er derfor behov for at fremme tættere samarbejde mellem datatilsynsmyndigheder, så de bedre kan udveksle oplysninger og gennemføre undersøgelser sammen med de tilsvarende internationale organer. Med henblik på at udvikle mekanismer for internationalt samarbejde for at lette og yde international gensidig bistand til håndhævelsen af lovgivning om beskyttelse af personoplysninger bør Kommissionen og tilsynsmyndighederne udveksle oplysninger og samarbejde om aktiviteter i forbindelse med udøvelsen af deres beføjelser med de kompetente myndigheder i tredjelande på grundlag af gensidighed og i overensstemmelse med denne forordning.

| (117) | Oprettelse af tilsynsmyndigheder i medlemsstaterne, som har beføjelser til at udføre deres opgaver og udøve deres beføjelser i fuld uafhængighed, har afgørende betydning for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger. Medlemsstaterne bør kunne oprette mere end én tilsynsmyndighed for at afspejle deres forfatningsmæssige, organisatoriske og administrative struktur. |
| --- | --- |

(117)

Oprettelse af tilsynsmyndigheder i medlemsstaterne, som har beføjelser til at udføre deres opgaver og udøve deres beføjelser i fuld uafhængighed, har afgørende betydning for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger. Medlemsstaterne bør kunne oprette mere end én tilsynsmyndighed for at afspejle deres forfatningsmæssige, organisatoriske og administrative struktur.

| (118) | Tilsynsmyndighedernes uafhængighed bør ikke betyde, at tilsynsmyndighederne ikke kan underkastes kontrol eller tilsynsmekanismer hvad angår deres finansielle udgifter eller underkastes domstolskontrol. |
| --- | --- |

(118)

Tilsynsmyndighedernes uafhængighed bør ikke betyde, at tilsynsmyndighederne ikke kan underkastes kontrol eller tilsynsmekanismer hvad angår deres finansielle udgifter eller underkastes domstolskontrol.

| (119) | Hvis en medlemsstat opretter flere tilsynsmyndigheder, bør den ved lov fastlægge mekanismer, der sikrer disse tilsynsmyndigheders effektive deltagelse i sammenhængsmekanismen. Den pågældende medlemsstat bør navnlig udpege den tilsynsmyndighed, der fungerer som fælles kontaktpunkt for disse myndigheders effektive deltagelse i mekanismen, med henblik på at sikre et hurtigt og smidigt samarbejde med andre tilsynsmyndigheder, Databeskyttelsesrådet og Kommissionen. |
| --- | --- |

(119)

Hvis en medlemsstat opretter flere tilsynsmyndigheder, bør den ved lov fastlægge mekanismer, der sikrer disse tilsynsmyndigheders effektive deltagelse i sammenhængsmekanismen. Den pågældende medlemsstat bør navnlig udpege den tilsynsmyndighed, der fungerer som fælles kontaktpunkt for disse myndigheders effektive deltagelse i mekanismen, med henblik på at sikre et hurtigt og smidigt samarbejde med andre tilsynsmyndigheder, Databeskyttelsesrådet og Kommissionen.

| (120) | Hver tilsynsmyndighed bør have de nødvendige finansielle og menneskelige ressourcer samt lokaler og infrastruktur til effektivt at kunne udføre sine opgaver, herunder opgaver vedrørende gensidig bistand og samarbejde med andre tilsynsmyndigheder i hele Unionen. Hver tilsynsmyndighed bør have et separat offentligt årligt budget, der kan indgå i det samlede statsbudget eller nationale budget. |
| --- | --- |

(120)

Hver tilsynsmyndighed bør have de nødvendige finansielle og menneskelige ressourcer samt lokaler og infrastruktur til effektivt at kunne udføre sine opgaver, herunder opgaver vedrørende gensidig bistand og samarbejde med andre tilsynsmyndigheder i hele Unionen. Hver tilsynsmyndighed bør have et separat offentligt årligt budget, der kan indgå i det samlede statsbudget eller nationale budget.

| (121) | De generelle betingelser for en tilsynsmyndigheds medlem eller medlemmer bør fastsættes ved lov i hver medlemsstat og bør navnlig fastsætte, at disse medlemmer skal udnævnes ved en gennemsigtig procedure enten af parlamentet, regeringen eller statschefen i den pågældende medlemsstat på grundlag af et forslag fra regeringen, et medlem af regeringen, parlamentet eller et kammer i parlamentet eller af et uafhængigt organ, der har bemyndigelse hertil i henhold til medlemsstaternes nationale ret. For at sikre tilsynsmyndighedens uafhængighed bør medlemmet eller medlemmerne handle med integritet, afholde sig fra enhver handling, der er uforenelig med deres hverv, og ikke, så længe deres embedsperiode varer, udøve uforenelig lønnet eller ulønnet virksomhed. Tilsynsmyndigheden bør have sit eget personale, der er udvalgt af tilsynsmyndigheden eller et uafhængigt organ, der er oprettet ved medlemsstaternes nationale ret, og som udelukkende bør være underlagt tilsynsmyndighedens medlems eller medlemmers ledelse. |
| --- | --- |

(121)

De generelle betingelser for en tilsynsmyndigheds medlem eller medlemmer bør fastsættes ved lov i hver medlemsstat og bør navnlig fastsætte, at disse medlemmer skal udnævnes ved en gennemsigtig procedure enten af parlamentet, regeringen eller statschefen i den pågældende medlemsstat på grundlag af et forslag fra regeringen, et medlem af regeringen, parlamentet eller et kammer i parlamentet eller af et uafhængigt organ, der har bemyndigelse hertil i henhold til medlemsstaternes nationale ret. For at sikre tilsynsmyndighedens uafhængighed bør medlemmet eller medlemmerne handle med integritet, afholde sig fra enhver handling, der er uforenelig med deres hverv, og ikke, så længe deres embedsperiode varer, udøve uforenelig lønnet eller ulønnet virksomhed. Tilsynsmyndigheden bør have sit eget personale, der er udvalgt af tilsynsmyndigheden eller et uafhængigt organ, der er oprettet ved medlemsstaternes nationale ret, og som udelukkende bør være underlagt tilsynsmyndighedens medlems eller medlemmers ledelse.

| (122) | Hver tilsynsmyndighed bør på sin egen medlemsstats område have kompetence til at udøve sine beføjelser og varetage de opgaver, der er tildelt den i henhold til denne forordning. Dette bør navnlig omfatte behandling, som foretages som led i aktiviteter, der udføres for den dataansvarliges eller databehandlerens etablering på dens egen medlemsstats område, behandling af personoplysninger, der udføres af offentlige myndigheder eller af private organer i offentlighedens interesse, behandling, der påvirker registrerede på dens område, eller behandling, der udføres af en dataansvarlig eller en databehandler, som ikke er etableret i Unionen, når den er rettet mod registrerede, som har bopæl på dens område. Dette bør omfatte behandling af klager, der er indgivet af en registreret, udførelse af undersøgelser vedrørende denne forordnings anvendelse og en indsats for at fremme offentlighedens bevidstgørelse om risici, regler, garantier og rettigheder i forbindelse med behandling af personoplysninger. |
| --- | --- |

(122)

Hver tilsynsmyndighed bør på sin egen medlemsstats område have kompetence til at udøve sine beføjelser og varetage de opgaver, der er tildelt den i henhold til denne forordning. Dette bør navnlig omfatte behandling, som foretages som led i aktiviteter, der udføres for den dataansvarliges eller databehandlerens etablering på dens egen medlemsstats område, behandling af personoplysninger, der udføres af offentlige myndigheder eller af private organer i offentlighedens interesse, behandling, der påvirker registrerede på dens område, eller behandling, der udføres af en dataansvarlig eller en databehandler, som ikke er etableret i Unionen, når den er rettet mod registrerede, som har bopæl på dens område. Dette bør omfatte behandling af klager, der er indgivet af en registreret, udførelse af undersøgelser vedrørende denne forordnings anvendelse og en indsats for at fremme offentlighedens bevidstgørelse om risici, regler, garantier og rettigheder i forbindelse med behandling af personoplysninger.

| (123) | Tilsynsmyndighederne bør føre tilsyn med anvendelsen af bestemmelserne i henhold til denne forordning og bidrage til ensartet anvendelse heraf i hele Unionen for at beskytte fysiske personer i forbindelse med behandling af deres personoplysninger og lette fri udveksling af personoplysninger på det indre marked. Til det formål bør tilsynsmyndighederne samarbejde med hinanden og Kommissionen, uden at der er behov for en aftale mellem medlemsstater om gensidig bistand eller om et sådant samarbejde. |
| --- | --- |

(123)

Tilsynsmyndighederne bør føre tilsyn med anvendelsen af bestemmelserne i henhold til denne forordning og bidrage til ensartet anvendelse heraf i hele Unionen for at beskytte fysiske personer i forbindelse med behandling af deres personoplysninger og lette fri udveksling af personoplysninger på det indre marked. Til det formål bør tilsynsmyndighederne samarbejde med hinanden og Kommissionen, uden at der er behov for en aftale mellem medlemsstater om gensidig bistand eller om et sådant samarbejde.

| (124) | Hvis behandling af personoplysninger foretages som led i aktiviteter, der udføres for en dataansvarlig eller en databehandler, der er etableret i Unionen, og den dataansvarlige eller databehandleren er etableret i mere end én medlemsstat, eller hvis den behandling, der finder sted som led i aktiviteter, som udføres for en dataansvarlig eller en databehandler, som kun er etableret i én medlemsstat i Unionen, og behandlingen i væsentlig grad påvirker eller sandsynligvis i væsentlig grad vil påvirke registrerede i mere end én medlemsstat, bør tilsynsmyndigheden for den dataansvarliges eller databehandlerens hovedvirksomhed eller for den dataansvarliges eller databehandlerens eneste etablering i Unionen fungere som ledende tilsynsmyndighed. Den ledende tilsynsmyndighed bør samarbejde med de andre berørte myndigheder, fordi den dataansvarlige eller databehandleren har en etablering på deres medlemsstats område, fordi de registrerede, der har bopæl på deres område, er påvirket i væsentlig grad, eller fordi der er blevet indgivet en klage til dem. Også hvis en registreret, der ikke har bopæl i den medlemsstat, har indgivet en klage, bør den tilsynsmyndighed, til hvem klagen er indgivet, være en berørt tilsynsmyndighed. Databeskyttelsesrådet bør inden for rammerne af sine opgaver med at udstede retningslinjer om ethvert spørgsmål vedrørende anvendelsen af denne forordning navnlig kunne udstede retningslinjer om, hvilke kriterier der skal tages i betragtning for at fastlægge, hvorvidt en behandling i væsentlig grad påvirker registrerede i mere end én medlemsstat, og hvad der udgør en relevant og begrundet indsigelse. |
| --- | --- |

(124)

Hvis behandling af personoplysninger foretages som led i aktiviteter, der udføres for en dataansvarlig eller en databehandler, der er etableret i Unionen, og den dataansvarlige eller databehandleren er etableret i mere end én medlemsstat, eller hvis den behandling, der finder sted som led i aktiviteter, som udføres for en dataansvarlig eller en databehandler, som kun er etableret i én medlemsstat i Unionen, og behandlingen i væsentlig grad påvirker eller sandsynligvis i væsentlig grad vil påvirke registrerede i mere end én medlemsstat, bør tilsynsmyndigheden for den dataansvarliges eller databehandlerens hovedvirksomhed eller for den dataansvarliges eller databehandlerens eneste etablering i Unionen fungere som ledende tilsynsmyndighed. Den ledende tilsynsmyndighed bør samarbejde med de andre berørte myndigheder, fordi den dataansvarlige eller databehandleren har en etablering på deres medlemsstats område, fordi de registrerede, der har bopæl på deres område, er påvirket i væsentlig grad, eller fordi der er blevet indgivet en klage til dem. Også hvis en registreret, der ikke har bopæl i den medlemsstat, har indgivet en klage, bør den tilsynsmyndighed, til hvem klagen er indgivet, være en berørt tilsynsmyndighed. Databeskyttelsesrådet bør inden for rammerne af sine opgaver med at udstede retningslinjer om ethvert spørgsmål vedrørende anvendelsen af denne forordning navnlig kunne udstede retningslinjer om, hvilke kriterier der skal tages i betragtning for at fastlægge, hvorvidt en behandling i væsentlig grad påvirker registrerede i mere end én medlemsstat, og hvad der udgør en relevant og begrundet indsigelse.

| (125) | Den ledende tilsynsmyndighed bør have kompetence til at vedtage bindende afgørelser vedrørende foranstaltninger, der anvender de beføjelser, den er tillagt i overensstemmelse med denne forordning. Tilsynsmyndigheden bør i sin egenskab af ledende tilsynsmyndighed nøje inddrage og koordinere de berørte tilsynsmyndigheder i beslutningsprocessen. Hvis der træffes afgørelse om helt eller delvist at afvise den registreredes klage, bør denne afgørelse vedtages af den tilsynsmyndighed, til hvem klagen er indgivet. |
| --- | --- |

(125)

Den ledende tilsynsmyndighed bør have kompetence til at vedtage bindende afgørelser vedrørende foranstaltninger, der anvender de beføjelser, den er tillagt i overensstemmelse med denne forordning. Tilsynsmyndigheden bør i sin egenskab af ledende tilsynsmyndighed nøje inddrage og koordinere de berørte tilsynsmyndigheder i beslutningsprocessen. Hvis der træffes afgørelse om helt eller delvist at afvise den registreredes klage, bør denne afgørelse vedtages af den tilsynsmyndighed, til hvem klagen er indgivet.

| (126) | Afgørelsen bør træffes i fællesskab af den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder og bør være rettet mod den dataansvarliges eller databehandlerens hovedvirksomhed eller eneste etablering samt være bindende for den dataansvarlige og databehandleren. Den dataansvarlige eller databehandleren bør træffe de nødvendige foranstaltninger til at sikre overholdelse af denne forordning samt gennemførelse af den afgørelse, som af den ledende tilsynsmyndighed meddeles den dataansvarlige eller databehandlerens hovedvirksomhed for så vidt angår behandlingsaktiviteter i Unionen. |
| --- | --- |

(126)

Afgørelsen bør træffes i fællesskab af den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder og bør være rettet mod den dataansvarliges eller databehandlerens hovedvirksomhed eller eneste etablering samt være bindende for den dataansvarlige og databehandleren. Den dataansvarlige eller databehandleren bør træffe de nødvendige foranstaltninger til at sikre overholdelse af denne forordning samt gennemførelse af den afgørelse, som af den ledende tilsynsmyndighed meddeles den dataansvarlige eller databehandlerens hovedvirksomhed for så vidt angår behandlingsaktiviteter i Unionen.

| (127) | Hver tilsynsmyndighed, der ikke fungerer som den ledende tilsynsmyndighed, bør være kompetent til at behandle lokale sager, hvis den dataansvarlige eller databehandleren er etableret i mere end én medlemsstat, men genstanden for den specifikke behandling kun vedrører behandling i én medlemsstat og kun vedrører registrerede i denne ene medlemsstat, f.eks. hvis genstanden er behandling af arbejdstageres personoplysninger i en bestemt beskæftigelsessammenhæng i en medlemsstat. I sådanne tilfælde bør tilsynsmyndigheden straks underrette den ledende tilsynsmyndighed om forholdet. Efter at være blevet underrettet bør den ledende tilsynsmyndighed afgøre, om den vil behandle sagen i medfør af bestemmelsen om samarbejde mellem den ledende tilsynsmyndighed og andre berørte tilsynsmyndigheder (»one-stop-shop mekanismen«), eller om den tilsynsmyndighed, der underrettede den, bør behandle sagen på lokalt plan. Når den ledende tilsynsmyndighed afgør, om den vil behandle sagen, bør den tage hensyn til, om den dataansvarlige eller databehandleren er etableret i medlemsstaten for den tilsynsmyndighed, der underrettede den, med henblik på at sikre effektiv håndhævelse af en afgørelse over for den dataansvarlige eller databehandleren. Hvis den ledende tilsynsmyndighed beslutter at behandle sagen, bør den tilsynsmyndighed, der underrettede den, have mulighed for at forelægge et udkast til afgørelse, som den ledende tilsynsmyndighed bør tage størst muligt hensyn til ved udarbejdelsen af sit udkast til afgørelse inden for denne one-stop-shop mekanisme. |
| --- | --- |

(127)

Hver tilsynsmyndighed, der ikke fungerer som den ledende tilsynsmyndighed, bør være kompetent til at behandle lokale sager, hvis den dataansvarlige eller databehandleren er etableret i mere end én medlemsstat, men genstanden for den specifikke behandling kun vedrører behandling i én medlemsstat og kun vedrører registrerede i denne ene medlemsstat, f.eks. hvis genstanden er behandling af arbejdstageres personoplysninger i en bestemt beskæftigelsessammenhæng i en medlemsstat. I sådanne tilfælde bør tilsynsmyndigheden straks underrette den ledende tilsynsmyndighed om forholdet. Efter at være blevet underrettet bør den ledende tilsynsmyndighed afgøre, om den vil behandle sagen i medfør af bestemmelsen om samarbejde mellem den ledende tilsynsmyndighed og andre berørte tilsynsmyndigheder (»one-stop-shop mekanismen«), eller om den tilsynsmyndighed, der underrettede den, bør behandle sagen på lokalt plan. Når den ledende tilsynsmyndighed afgør, om den vil behandle sagen, bør den tage hensyn til, om den dataansvarlige eller databehandleren er etableret i medlemsstaten for den tilsynsmyndighed, der underrettede den, med henblik på at sikre effektiv håndhævelse af en afgørelse over for den dataansvarlige eller databehandleren. Hvis den ledende tilsynsmyndighed beslutter at behandle sagen, bør den tilsynsmyndighed, der underrettede den, have mulighed for at forelægge et udkast til afgørelse, som den ledende tilsynsmyndighed bør tage størst muligt hensyn til ved udarbejdelsen af sit udkast til afgørelse inden for denne one-stop-shop mekanisme.

| (128) | Reglerne om den ledende tilsynsmyndighed og one-stop-shop mekanismen bør ikke gælde, når behandling foretages af offentlige myndigheder eller af private organer i offentlighedens interesse. I sådanne tilfælde bør kun tilsynsmyndigheden i den medlemsstat, hvor den offentlige myndighed eller det private organ er etableret, have kompetence til at udøve de beføjelser, som den er tillagt i henhold til denne forordning. |
| --- | --- |

(128)

Reglerne om den ledende tilsynsmyndighed og one-stop-shop mekanismen bør ikke gælde, når behandling foretages af offentlige myndigheder eller af private organer i offentlighedens interesse. I sådanne tilfælde bør kun tilsynsmyndigheden i den medlemsstat, hvor den offentlige myndighed eller det private organ er etableret, have kompetence til at udøve de beføjelser, som den er tillagt i henhold til denne forordning.

| (129) | For at sikre ensartet tilsyn med og håndhævelse af denne forordning i hele Unionen bør tilsynsmyndighederne i hver medlemsstat have samme opgaver og effektive beføjelser, herunder undersøgelsesbeføjelser og beføjelser til at fastsætte korrigerende foranstaltninger og sanktioner samt godkendelses- og rådgivningsbeføjelser, navnlig i tilfælde af klager fra fysiske personer, og med forbehold for de retsforfølgende myndigheders beføjelser i henhold til medlemsstaternes nationale ret, til at indbringe overtrædelser af denne forordning for de judicielle myndigheder og deltage i retssager. Disse beføjelser bør også omfatte beføjelse til midlertidig eller definitivt at begrænse, herunder forbyde, behandling. Medlemsstaterne kan fastsætte andre opgaver, som vedrører beskyttelse af personoplysninger i henhold til denne forordning. Tilsynsmyndighedernes beføjelser bør udøves i overensstemmelse med de fornødne proceduremæssige garantier, der er fastsat i EU-retten og medlemsstaternes nationale ret, uvildigt, retfærdigt og inden for en rimelig frist. Hver foranstaltning bør især være passende, nødvendig og forholdsmæssig for at sikre overholdelse af denne forordning, idet der tages hensyn til omstændighederne i hver enkelt sag, bør overholde enhver persons ret til at blive hørt, inden der træffes en individuel foranstaltning, som vil berøre den pågældende negativt, og bør undgå overflødige udgifter og urimelige ulemper for de berørte personer. Hvad angår adgang til lokaler bør undersøgelsesbeføjelserne udøves i overensstemmelse med specifikke krav i medlemsstaternes retspleje, f.eks. krav om en forudgående retskendelse. Hver juridisk bindende foranstaltning, der træffes af en tilsynsmyndighed, bør være skriftlig, klar og utvetydig, angive navnet på den tilsynsmyndighed, der har truffet foranstaltningen, og datoen for iværksættelse af foranstaltningen, være underskrevet af chefen for eller et medlem af tilsynsmyndigheden, som vedkommende har givet bemyndigelse hertil, angive begrundelsen for foranstaltningen og indeholde en henvisning til adgang til effektive retsmidler. Dette bør ikke udelukke yderligere krav i medfør af medlemsstaternes retspleje. Vedtagelse af en juridisk bindende afgørelse indebærer, at den kan undergives domstolskontrol i medlemsstaten for den tilsynsmyndighed, der har vedtaget afgørelsen. |
| --- | --- |

(129)

For at sikre ensartet tilsyn med og håndhævelse af denne forordning i hele Unionen bør tilsynsmyndighederne i hver medlemsstat have samme opgaver og effektive beføjelser, herunder undersøgelsesbeføjelser og beføjelser til at fastsætte korrigerende foranstaltninger og sanktioner samt godkendelses- og rådgivningsbeføjelser, navnlig i tilfælde af klager fra fysiske personer, og med forbehold for de retsforfølgende myndigheders beføjelser i henhold til medlemsstaternes nationale ret, til at indbringe overtrædelser af denne forordning for de judicielle myndigheder og deltage i retssager. Disse beføjelser bør også omfatte beføjelse til midlertidig eller definitivt at begrænse, herunder forbyde, behandling. Medlemsstaterne kan fastsætte andre opgaver, som vedrører beskyttelse af personoplysninger i henhold til denne forordning. Tilsynsmyndighedernes beføjelser bør udøves i overensstemmelse med de fornødne proceduremæssige garantier, der er fastsat i EU-retten og medlemsstaternes nationale ret, uvildigt, retfærdigt og inden for en rimelig frist. Hver foranstaltning bør især være passende, nødvendig og forholdsmæssig for at sikre overholdelse af denne forordning, idet der tages hensyn til omstændighederne i hver enkelt sag, bør overholde enhver persons ret til at blive hørt, inden der træffes en individuel foranstaltning, som vil berøre den pågældende negativt, og bør undgå overflødige udgifter og urimelige ulemper for de berørte personer. Hvad angår adgang til lokaler bør undersøgelsesbeføjelserne udøves i overensstemmelse med specifikke krav i medlemsstaternes retspleje, f.eks. krav om en forudgående retskendelse. Hver juridisk bindende foranstaltning, der træffes af en tilsynsmyndighed, bør være skriftlig, klar og utvetydig, angive navnet på den tilsynsmyndighed, der har truffet foranstaltningen, og datoen for iværksættelse af foranstaltningen, være underskrevet af chefen for eller et medlem af tilsynsmyndigheden, som vedkommende har givet bemyndigelse hertil, angive begrundelsen for foranstaltningen og indeholde en henvisning til adgang til effektive retsmidler. Dette bør ikke udelukke yderligere krav i medfør af medlemsstaternes retspleje. Vedtagelse af en juridisk bindende afgørelse indebærer, at den kan undergives domstolskontrol i medlemsstaten for den tilsynsmyndighed, der har vedtaget afgørelsen.

| (130) | Hvis den tilsynsmyndighed, til hvem en klage er indgivet, ikke er den ledende tilsynsmyndighed, bør den ledende tilsynsmyndighed samarbejde tæt med den tilsynsmyndighed, til hvem klagen er indgivet, i overensstemmelse med bestemmelserne om samarbejde og sammenhæng i denne forordning. I sådanne tilfælde bør den ledende tilsynsmyndighed, når den træffer foranstaltninger, der skal have retsvirkning, herunder pålæggelse af administrative bøder, tage størst muligt hensyn til synspunkterne hos den tilsynsmyndighed, til hvem klagen er indgivet, og som fortsat bør være kompetent til at foretage undersøgelser på sin egen medlemsstats område i samråd med den ledende tilsynsmyndighed. |
| --- | --- |

(130)

Hvis den tilsynsmyndighed, til hvem en klage er indgivet, ikke er den ledende tilsynsmyndighed, bør den ledende tilsynsmyndighed samarbejde tæt med den tilsynsmyndighed, til hvem klagen er indgivet, i overensstemmelse med bestemmelserne om samarbejde og sammenhæng i denne forordning. I sådanne tilfælde bør den ledende tilsynsmyndighed, når den træffer foranstaltninger, der skal have retsvirkning, herunder pålæggelse af administrative bøder, tage størst muligt hensyn til synspunkterne hos den tilsynsmyndighed, til hvem klagen er indgivet, og som fortsat bør være kompetent til at foretage undersøgelser på sin egen medlemsstats område i samråd med den ledende tilsynsmyndighed.

| (131) | Hvis en anden tilsynsmyndighed burde fungere som ledende tilsynsmyndighed i forbindelse med den dataansvarliges eller databehandlerens behandlingsaktiviteter, men en klages konkrete indhold eller en mulig overtrædelse kun vedrører den dataansvarliges eller databehandlerens behandlingsaktiviteter i den medlemsstat, hvor klagen er indgivet, eller den konstaterede mulige overtrædelse og forholdet ikke i væsentlig grad påvirker eller sandsynligvis ikke i væsentlig grad vil påvirke registrerede i andre medlemsstater, bør den tilsynsmyndighed, der modtager en klage eller konstaterer eller på anden måde underrettes om situationer, som indebærer mulige overtrædelser af denne forordning, søge at nå frem til en mindelig løsning med den dataansvarlige, og hvis dette ikke lykkes, udøve alle sine beføjelser. Dette bør omfatte specifik behandling, der foretages på tilsynsmyndighedens medlemsstats område eller for så vidt angår registrerede på den pågældende medlemsstats område, behandling, der foretages som led i udbud af varer eller tjenesteydelser specifikt rettet mod registrerede på tilsynsmyndighedens medlemsstats område, eller behandling som skal vurderes under hensyntagen til relevante retlige forpligtelser i henhold til medlemsstaternes nationale ret. |
| --- | --- |

(131)

Hvis en anden tilsynsmyndighed burde fungere som ledende tilsynsmyndighed i forbindelse med den dataansvarliges eller databehandlerens behandlingsaktiviteter, men en klages konkrete indhold eller en mulig overtrædelse kun vedrører den dataansvarliges eller databehandlerens behandlingsaktiviteter i den medlemsstat, hvor klagen er indgivet, eller den konstaterede mulige overtrædelse og forholdet ikke i væsentlig grad påvirker eller sandsynligvis ikke i væsentlig grad vil påvirke registrerede i andre medlemsstater, bør den tilsynsmyndighed, der modtager en klage eller konstaterer eller på anden måde underrettes om situationer, som indebærer mulige overtrædelser af denne forordning, søge at nå frem til en mindelig løsning med den dataansvarlige, og hvis dette ikke lykkes, udøve alle sine beføjelser. Dette bør omfatte specifik behandling, der foretages på tilsynsmyndighedens medlemsstats område eller for så vidt angår registrerede på den pågældende medlemsstats område, behandling, der foretages som led i udbud af varer eller tjenesteydelser specifikt rettet mod registrerede på tilsynsmyndighedens medlemsstats område, eller behandling som skal vurderes under hensyntagen til relevante retlige forpligtelser i henhold til medlemsstaternes nationale ret.

| (132) | Tilsynsmyndigheders oplysningskampagner over for offentligheden bør omfatte specifikke foranstaltninger rettet mod dataansvarlige og databehandlere, herunder mikrovirksomheder og små og mellemstore virksomheder, samt fysiske personer, navnlig i uddannelsessammenhæng. |
| --- | --- |

(132)

Tilsynsmyndigheders oplysningskampagner over for offentligheden bør omfatte specifikke foranstaltninger rettet mod dataansvarlige og databehandlere, herunder mikrovirksomheder og små og mellemstore virksomheder, samt fysiske personer, navnlig i uddannelsessammenhæng.

| (133) | Tilsynsmyndighederne bør bistå hinanden i forbindelse med udførelsen af deres opgaver og yde gensidig bistand for at sikre ensartet anvendelse og håndhævelse af denne forordning på det indre marked. En tilsynsmyndighed, der har anmodet om gensidig bistand, kan vedtage en foreløbig foranstaltning, hvis den ikke har modtaget svar på en anmodning om gensidig bistand inden for en måned fra den anden tilsynsmyndigheds modtagelse af anmodningen. |
| --- | --- |

(133)

Tilsynsmyndighederne bør bistå hinanden i forbindelse med udførelsen af deres opgaver og yde gensidig bistand for at sikre ensartet anvendelse og håndhævelse af denne forordning på det indre marked. En tilsynsmyndighed, der har anmodet om gensidig bistand, kan vedtage en foreløbig foranstaltning, hvis den ikke har modtaget svar på en anmodning om gensidig bistand inden for en måned fra den anden tilsynsmyndigheds modtagelse af anmodningen.

| (134) | Hver tilsynsmyndighed bør, hvis det er relevant, deltage i fælles aktiviteter sammen med andre tilsynsmyndigheder. En tilsynsmyndighed, der modtager en anmodning, bør være forpligtet til at besvare anmodningen inden for en angiven frist. |
| --- | --- |

(134)

Hver tilsynsmyndighed bør, hvis det er relevant, deltage i fælles aktiviteter sammen med andre tilsynsmyndigheder. En tilsynsmyndighed, der modtager en anmodning, bør være forpligtet til at besvare anmodningen inden for en angiven frist.

| (135) | For at sikre ensartet anvendelse af denne forordning i hele Unionen bør der etableres en sammenhængsmekanisme for samarbejde mellem tilsynsmyndighederne. Denne mekanisme bør navnlig anvendes, når en tilsynsmyndighed agter at vedtage en foranstaltning, der skal have retsvirkning, i forhold til behandlingsaktiviteter, der i væsentlig grad påvirker et betydeligt antal registrerede i flere medlemsstater. Den bør også anvendes, hvis en berørt tilsynsmyndighed eller Kommissionen ønsker, at en sådan sag behandles inden for sammenhængsmekanismen. Denne mekanisme berører ikke foranstaltninger, som Kommissionen måtte træffe som led i udøvelsen af sine beføjelser i henhold til traktaterne. |
| --- | --- |

(135)

For at sikre ensartet anvendelse af denne forordning i hele Unionen bør der etableres en sammenhængsmekanisme for samarbejde mellem tilsynsmyndighederne. Denne mekanisme bør navnlig anvendes, når en tilsynsmyndighed agter at vedtage en foranstaltning, der skal have retsvirkning, i forhold til behandlingsaktiviteter, der i væsentlig grad påvirker et betydeligt antal registrerede i flere medlemsstater. Den bør også anvendes, hvis en berørt tilsynsmyndighed eller Kommissionen ønsker, at en sådan sag behandles inden for sammenhængsmekanismen. Denne mekanisme berører ikke foranstaltninger, som Kommissionen måtte træffe som led i udøvelsen af sine beføjelser i henhold til traktaterne.

| (136) | I forbindelse med anvendelsen af sammenhængsmekanismen bør Databeskyttelsesrådet inden for en bestemt frist afgive en udtalelse, hvis det besluttes af et flertal af dets medlemmer, eller hvis en berørt tilsynsmyndighed eller Kommissionen anmoder herom. Databeskyttelsesrådet bør også tillægges beføjelse til at vedtage juridisk bindende afgørelser i tilfælde af tvister mellem tilsynsmyndigheder. Til dette formål bør Databeskyttelsesrådet i princippet med et flertal på to tredjedele af sine medlemmer vedtage juridisk bindende afgørelser i klart angivne tilfælde, hvor der er modstridende synspunkter blandt tilsynsmyndighederne, særlig i samarbejdsmekanismen mellem den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder om en sags realitet, navnlig hvorvidt der foreligger en overtrædelse af denne forordning. |
| --- | --- |

(136)

I forbindelse med anvendelsen af sammenhængsmekanismen bør Databeskyttelsesrådet inden for en bestemt frist afgive en udtalelse, hvis det besluttes af et flertal af dets medlemmer, eller hvis en berørt tilsynsmyndighed eller Kommissionen anmoder herom. Databeskyttelsesrådet bør også tillægges beføjelse til at vedtage juridisk bindende afgørelser i tilfælde af tvister mellem tilsynsmyndigheder. Til dette formål bør Databeskyttelsesrådet i princippet med et flertal på to tredjedele af sine medlemmer vedtage juridisk bindende afgørelser i klart angivne tilfælde, hvor der er modstridende synspunkter blandt tilsynsmyndighederne, særlig i samarbejdsmekanismen mellem den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder om en sags realitet, navnlig hvorvidt der foreligger en overtrædelse af denne forordning.

| (137) | Det kan være nødvendigt at handle omgående for at beskytte registreredes rettigheder og frihedsrettigheder, navnlig hvis der er fare for væsentlig vanskeliggørelse af håndhævelsen af en registerets rettigheder. En tilsynsmyndighed bør derfor kunne vedtage behørigt begrundede foreløbige foranstaltninger på sit område med en angivet gyldighedsperiode, der ikke bør overstige tre måneder. |
| --- | --- |

(137)

Det kan være nødvendigt at handle omgående for at beskytte registreredes rettigheder og frihedsrettigheder, navnlig hvis der er fare for væsentlig vanskeliggørelse af håndhævelsen af en registerets rettigheder. En tilsynsmyndighed bør derfor kunne vedtage behørigt begrundede foreløbige foranstaltninger på sit område med en angivet gyldighedsperiode, der ikke bør overstige tre måneder.

| (138) | Anvendelse af sammenhængsmekanismen bør være en betingelse for lovligheden af en af en tilsynsmyndighed truffet foranstaltning, der skal have retsvirkning, i tilfælde, hvor anvendelse heraf er obligatorisk. I andre tilfælde af grænseoverskridende relevans bør mekanismen for samarbejde mellem den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder finde anvendelse, og gensidig bistand og fælles aktiviteter kan gennemføres mellem de berørte tilsynsmyndigheder på bilateralt eller multilateralt grundlag, uden at det udløser sammenhængsmekanismen. |
| --- | --- |

(138)

Anvendelse af sammenhængsmekanismen bør være en betingelse for lovligheden af en af en tilsynsmyndighed truffet foranstaltning, der skal have retsvirkning, i tilfælde, hvor anvendelse heraf er obligatorisk. I andre tilfælde af grænseoverskridende relevans bør mekanismen for samarbejde mellem den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder finde anvendelse, og gensidig bistand og fælles aktiviteter kan gennemføres mellem de berørte tilsynsmyndigheder på bilateralt eller multilateralt grundlag, uden at det udløser sammenhængsmekanismen.

| (139) | Med henblik på at fremme, at denne forordning anvendes på en ensartet måde, bør Databeskyttelsesrådet oprettes som et uafhængigt EU-organ. Databeskyttelsesrådet bør for at kunne opfylde sine målsætninger have status som juridisk person. Det bør repræsenteres af sin formand. Databeskyttelsesrådet bør erstatte Gruppen vedrørende Beskyttelse af Personer i forbindelse med Behandling af Personoplysninger, der er nedsat ved direktiv 95/46/EF. Det bør sammensættes af chefen for en tilsynsmyndighed i hver medlemsstat og Den Europæiske Tilsynsførende for Databeskyttelse eller deres respektive repræsentanter. Kommissionen bør deltage i Databeskyttelsesrådets aktiviteter uden stemmeret, og Den Europæiske Tilsynsførende for Databeskyttelse bør have særlige stemmerettigheder. Databeskyttelsesrådet bør bidrage til ensartet anvendelse af denne forordning i hele Unionen, herunder ved at rådgive Kommissionen, navnlig om beskyttelsesniveauet i tredjelande eller internationale organisationer, og fremme samarbejdet mellem tilsynsmyndighederne i hele Unionen. Databeskyttelsesrådet bør handle uafhængigt, når det udfører sine opgaver. |
| --- | --- |

(139)

Med henblik på at fremme, at denne forordning anvendes på en ensartet måde, bør Databeskyttelsesrådet oprettes som et uafhængigt EU-organ. Databeskyttelsesrådet bør for at kunne opfylde sine målsætninger have status som juridisk person. Det bør repræsenteres af sin formand. Databeskyttelsesrådet bør erstatte Gruppen vedrørende Beskyttelse af Personer i forbindelse med Behandling af Personoplysninger, der er nedsat ved direktiv 95/46/EF. Det bør sammensættes af chefen for en tilsynsmyndighed i hver medlemsstat og Den Europæiske Tilsynsførende for Databeskyttelse eller deres respektive repræsentanter. Kommissionen bør deltage i Databeskyttelsesrådets aktiviteter uden stemmeret, og Den Europæiske Tilsynsførende for Databeskyttelse bør have særlige stemmerettigheder. Databeskyttelsesrådet bør bidrage til ensartet anvendelse af denne forordning i hele Unionen, herunder ved at rådgive Kommissionen, navnlig om beskyttelsesniveauet i tredjelande eller internationale organisationer, og fremme samarbejdet mellem tilsynsmyndighederne i hele Unionen. Databeskyttelsesrådet bør handle uafhængigt, når det udfører sine opgaver.

| (140) | Databeskyttelsesrådet bør bistås af et sekretariat, som stilles til rådighed af Den Europæiske Tilsynsførende for Databeskyttelse. Det personale hos Den Europæiske Tilsynsførende for Databeskyttelse, der deltager i udførelsen af de opgaver, som Databeskyttelsesrådet tildeles ved denne forordning, bør udelukkende udføre sine opgaver efter instruks fra formanden for Databeskyttelsesrådet og rapportere til denne. |
| --- | --- |

(140)

Databeskyttelsesrådet bør bistås af et sekretariat, som stilles til rådighed af Den Europæiske Tilsynsførende for Databeskyttelse. Det personale hos Den Europæiske Tilsynsførende for Databeskyttelse, der deltager i udførelsen af de opgaver, som Databeskyttelsesrådet tildeles ved denne forordning, bør udelukkende udføre sine opgaver efter instruks fra formanden for Databeskyttelsesrådet og rapportere til denne.

| (141) | Enhver registreret bør have ret til at indgive klage til en enkelt tilsynsmyndighed, navnlig i den medlemsstat, hvor vedkommende har sit sædvanlige opholdssted, og have adgang til effektive retsmidler i overensstemmelse med artikel 47 i chartret, hvis den registrerede finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket, eller hvis tilsynsmyndigheden ikke reagerer på en klage, delvist eller helt afslår eller afviser en klage eller ikke handler, hvis handling er nødvendig for at beskytte den registreredes rettigheder. Undersøgelse af en klage bør foretages i det omfang, det er passende i det specifikke tilfælde, med forbehold af domstolskontrol. Tilsynsmyndigheden bør underrette den registrerede om forløbet og resultatet af klagen inden for en rimelig frist. Hvis sagen kræver yderligere undersøgelse eller koordinering med en anden tilsynsmyndighed, bør den registrerede undervejs underrettes herom. For at lette indgivelsen af klager bør hver tilsynsmyndighed træffe foranstaltninger som f.eks. at tilbyde en klageformular, der også kan udfyldes elektronisk, uden at udelukke andre kommunikationsmidler. |
| --- | --- |

(141)

Enhver registreret bør have ret til at indgive klage til en enkelt tilsynsmyndighed, navnlig i den medlemsstat, hvor vedkommende har sit sædvanlige opholdssted, og have adgang til effektive retsmidler i overensstemmelse med artikel 47 i chartret, hvis den registrerede finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket, eller hvis tilsynsmyndigheden ikke reagerer på en klage, delvist eller helt afslår eller afviser en klage eller ikke handler, hvis handling er nødvendig for at beskytte den registreredes rettigheder. Undersøgelse af en klage bør foretages i det omfang, det er passende i det specifikke tilfælde, med forbehold af domstolskontrol. Tilsynsmyndigheden bør underrette den registrerede om forløbet og resultatet af klagen inden for en rimelig frist. Hvis sagen kræver yderligere undersøgelse eller koordinering med en anden tilsynsmyndighed, bør den registrerede undervejs underrettes herom. For at lette indgivelsen af klager bør hver tilsynsmyndighed træffe foranstaltninger som f.eks. at tilbyde en klageformular, der også kan udfyldes elektronisk, uden at udelukke andre kommunikationsmidler.

| (142) | Hvis en registreret finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket, bør den pågældende have ret til at give et organ, en organisation eller en sammenslutning, som ikke arbejder med gevinst for øje, som er etableret i overensstemmelse med en medlemsstats ret, hvis vedtægtsmæssige formål er i samfundets interesse, og som beskæftiger sig med beskyttelse af personoplysninger, bemyndigelse til på vedkommendes vegne at indgive en klage til en tilsynsmyndighed, udøve adgangen til retsmidler på vegne af vedkommende eller, hvis det er fastsat i medlemsstaternes nationale ret, udøve retten til erstatning på vegne af vedkommende. En medlemsstat kan fastsætte, at et sådant organ eller en sådan organisation eller sammenslutning skal have ret til uafhængigt af en registrerets bemyndigelse at indgive en klage i den pågældende medlemsstat og have adgang til effektive retsmidler, hvis det eller den har grund til at formode, at en registrerets rettigheder er blevet krænket som følge af behandling af personoplysninger, der overtræder denne forordning. Dette organ eller denne organisation eller sammenslutning kan ikke kræve erstatning på en registrerets vegne uafhængigt af bemyndigelse fra den registrerede. |
| --- | --- |

(142)

Hvis en registreret finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket, bør den pågældende have ret til at give et organ, en organisation eller en sammenslutning, som ikke arbejder med gevinst for øje, som er etableret i overensstemmelse med en medlemsstats ret, hvis vedtægtsmæssige formål er i samfundets interesse, og som beskæftiger sig med beskyttelse af personoplysninger, bemyndigelse til på vedkommendes vegne at indgive en klage til en tilsynsmyndighed, udøve adgangen til retsmidler på vegne af vedkommende eller, hvis det er fastsat i medlemsstaternes nationale ret, udøve retten til erstatning på vegne af vedkommende. En medlemsstat kan fastsætte, at et sådant organ eller en sådan organisation eller sammenslutning skal have ret til uafhængigt af en registrerets bemyndigelse at indgive en klage i den pågældende medlemsstat og have adgang til effektive retsmidler, hvis det eller den har grund til at formode, at en registrerets rettigheder er blevet krænket som følge af behandling af personoplysninger, der overtræder denne forordning. Dette organ eller denne organisation eller sammenslutning kan ikke kræve erstatning på en registrerets vegne uafhængigt af bemyndigelse fra den registrerede.

| (143) | Enhver fysisk eller juridisk person har ret til at anlægge annullationssøgsmål til prøvelse af afgørelser fra Databeskyttelsesrådet ved Domstolen på de betingelser, der er fastsat i artikel 263 i TEUF. De berørte tilsynsmyndigheder, som sådanne afgørelser er rettet til, skal, hvis de ønsker at anfægte afgørelserne, anlægge søgsmål inden for to måneder efter meddelelse af afgørelserne til dem i overensstemmelse med artikel 263 i TEUF. Når en dataansvarlig, databehandler eller klager er umiddelbart og individuelt berørt af Databeskyttelsesrådets afgørelser, kan disse anlægge annullationssøgsmål til prøvelse af disse afgørelser senest to måneder efter afgørelsernes offentliggørelse på Databeskyttelsesrådets websted i overensstemmelse med artikel 263 i TEUF. Uden at dette berører denne ret i henhold til artikel 263 i TEUF, bør enhver fysisk eller juridisk person have adgang til effektive retsmidler ved den kompetente nationale domstol til prøvelse af en tilsynsmyndigheds afgørelse, som har retsvirkninger for denne person. En sådan afgørelse vedrører navnlig tilsynsmyndighedens udøvelse af undersøgelsesbeføjelser, korrigerende beføjelser og godkendelsesbeføjelser eller afslag eller afvisning af klager. Denne ret til adgang til effektive retsmidler omfatter dog ikke foranstaltninger truffet af tilsynsmyndigheder, der ikke er juridisk bindende, som f.eks. udtalelser eller rådgivning fra tilsynsmyndigheden. En sag mod en tilsynsmyndighed bør anlægges ved domstolene i den medlemsstat, hvor tilsynsmyndigheden er etableret, og bør føres i overensstemmelse med den pågældende medlemsstats retspleje. Disse domstole bør have fuld jurisdiktion, herunder jurisdiktion til at undersøge alle de faktiske og retlige omstændigheder, der er relevante for den tvist, som de får forelagt.
  Hvis en klage er blevet afslået eller afvist af en tilsynsmyndighed, kan klageren anlægge sag ved domstolene i samme medlemsstat. I forbindelse med domstolskontrol vedrørende anvendelsen af denne forordning kan eller i det tilfælde, der er omhandlet i artikel 267 i TEUF, skal de nationale domstole, som anser en afgørelse om spørgsmålet for nødvendig for at afsige dom, anmode Domstolen om en præjudiciel afgørelse om fortolkning af EU-retten, herunder denne forordning. Hvis en afgørelse truffet af en tilsynsmyndighed, som gennemfører en afgørelse fra Databeskyttelsesrådet, anfægtes ved en national domstol, og gyldigheden af Databeskyttelsesrådets afgørelse er omtvistet, har den nationale domstol ikke beføjelse til at erklære Databeskyttelsesrådets afgørelse for ugyldig, men skal forelægge Domstolen spørgsmålet om gyldighed i henhold til artikel 267 i TEUF som fortolket af Domstolen, hvis den anser afgørelsen for ugyldig. En national domstol kan imidlertid ikke forelægge et spørgsmål om gyldigheden af Databeskyttelsesrådets afgørelse efter anmodning fra en fysisk eller juridisk person, der havde mulighed for at indbringe et annullationssøgsmål til prøvelse af den pågældende afgørelse, navnlig hvis personen er umiddelbart og individuelt berørt af afgørelsen, men ikke havde gjort dette inden for fristen i henhold til artikel 263 i TEUF. |
| --- | --- |

(143)

Enhver fysisk eller juridisk person har ret til at anlægge annullationssøgsmål til prøvelse af afgørelser fra Databeskyttelsesrådet ved Domstolen på de betingelser, der er fastsat i artikel 263 i TEUF. De berørte tilsynsmyndigheder, som sådanne afgørelser er rettet til, skal, hvis de ønsker at anfægte afgørelserne, anlægge søgsmål inden for to måneder efter meddelelse af afgørelserne til dem i overensstemmelse med artikel 263 i TEUF. Når en dataansvarlig, databehandler eller klager er umiddelbart og individuelt berørt af Databeskyttelsesrådets afgørelser, kan disse anlægge annullationssøgsmål til prøvelse af disse afgørelser senest to måneder efter afgørelsernes offentliggørelse på Databeskyttelsesrådets websted i overensstemmelse med artikel 263 i TEUF. Uden at dette berører denne ret i henhold til artikel 263 i TEUF, bør enhver fysisk eller juridisk person have adgang til effektive retsmidler ved den kompetente nationale domstol til prøvelse af en tilsynsmyndigheds afgørelse, som har retsvirkninger for denne person. En sådan afgørelse vedrører navnlig tilsynsmyndighedens udøvelse af undersøgelsesbeføjelser, korrigerende beføjelser og godkendelsesbeføjelser eller afslag eller afvisning af klager. Denne ret til adgang til effektive retsmidler omfatter dog ikke foranstaltninger truffet af tilsynsmyndigheder, der ikke er juridisk bindende, som f.eks. udtalelser eller rådgivning fra tilsynsmyndigheden. En sag mod en tilsynsmyndighed bør anlægges ved domstolene i den medlemsstat, hvor tilsynsmyndigheden er etableret, og bør føres i overensstemmelse med den pågældende medlemsstats retspleje. Disse domstole bør have fuld jurisdiktion, herunder jurisdiktion til at undersøge alle de faktiske og retlige omstændigheder, der er relevante for den tvist, som de får forelagt.

Hvis en klage er blevet afslået eller afvist af en tilsynsmyndighed, kan klageren anlægge sag ved domstolene i samme medlemsstat. I forbindelse med domstolskontrol vedrørende anvendelsen af denne forordning kan eller i det tilfælde, der er omhandlet i artikel 267 i TEUF, skal de nationale domstole, som anser en afgørelse om spørgsmålet for nødvendig for at afsige dom, anmode Domstolen om en præjudiciel afgørelse om fortolkning af EU-retten, herunder denne forordning. Hvis en afgørelse truffet af en tilsynsmyndighed, som gennemfører en afgørelse fra Databeskyttelsesrådet, anfægtes ved en national domstol, og gyldigheden af Databeskyttelsesrådets afgørelse er omtvistet, har den nationale domstol ikke beføjelse til at erklære Databeskyttelsesrådets afgørelse for ugyldig, men skal forelægge Domstolen spørgsmålet om gyldighed i henhold til artikel 267 i TEUF som fortolket af Domstolen, hvis den anser afgørelsen for ugyldig. En national domstol kan imidlertid ikke forelægge et spørgsmål om gyldigheden af Databeskyttelsesrådets afgørelse efter anmodning fra en fysisk eller juridisk person, der havde mulighed for at indbringe et annullationssøgsmål til prøvelse af den pågældende afgørelse, navnlig hvis personen er umiddelbart og individuelt berørt af afgørelsen, men ikke havde gjort dette inden for fristen i henhold til artikel 263 i TEUF.

| (144) | Hvis en domstol, for hvilken der indbringes en sag til prøvelse af en afgørelse truffet af en tilsynsmyndighed, har grund til at tro, at en sag vedrørende samme behandling, f.eks. med samme genstand for så vidt angår behandling udført af den samme dataansvarlige eller databehandler, eller som hviler på samme grundlag, anlægges ved en kompetent domstol i en anden medlemsstat, bør den kontakte den pågældende domstol for at bekræfte eksistensen af sådanne relaterede sager. Hvis der verserer relaterede sager for en domstol i en anden medlemsstat, kan enhver anden domstol end den, ved hvilken sagen først er anlagt, udsætte sagen eller kan efter begæring fra en af parterne erklære sig inkompetent til fordel for den domstol, ved hvilken sagen først er anlagt, forudsat at denne domstol har kompetence til at behandle den pågældende sag, og forening af sådanne relaterede sager er tilladt i henhold til dens lovgivning. Sager anses for at være relaterede, når de er så snævert forbundne, at det er ønskeligt at behandle og påkende dem samtidig for at undgå risiko for uforenelige afgørelser som følge af, at de blev påkendt hver for sig. |
| --- | --- |

(144)

Hvis en domstol, for hvilken der indbringes en sag til prøvelse af en afgørelse truffet af en tilsynsmyndighed, har grund til at tro, at en sag vedrørende samme behandling, f.eks. med samme genstand for så vidt angår behandling udført af den samme dataansvarlige eller databehandler, eller som hviler på samme grundlag, anlægges ved en kompetent domstol i en anden medlemsstat, bør den kontakte den pågældende domstol for at bekræfte eksistensen af sådanne relaterede sager. Hvis der verserer relaterede sager for en domstol i en anden medlemsstat, kan enhver anden domstol end den, ved hvilken sagen først er anlagt, udsætte sagen eller kan efter begæring fra en af parterne erklære sig inkompetent til fordel for den domstol, ved hvilken sagen først er anlagt, forudsat at denne domstol har kompetence til at behandle den pågældende sag, og forening af sådanne relaterede sager er tilladt i henhold til dens lovgivning. Sager anses for at være relaterede, når de er så snævert forbundne, at det er ønskeligt at behandle og påkende dem samtidig for at undgå risiko for uforenelige afgørelser som følge af, at de blev påkendt hver for sig.

| (145) | For så vidt angår sager mod en dataansvarlig eller databehandler bør sagsøger have valget mellem at indbringe sagen for domstolene i de medlemsstater, hvor den dataansvarlige eller databehandleren er etableret, eller i den medlemsstat, hvor den registrerede er bosiddende, medmindre den dataansvarlige er en offentlig myndighed i en medlemsstat og udøver offentligretlige beføjelser. |
| --- | --- |

(145)

For så vidt angår sager mod en dataansvarlig eller databehandler bør sagsøger have valget mellem at indbringe sagen for domstolene i de medlemsstater, hvor den dataansvarlige eller databehandleren er etableret, eller i den medlemsstat, hvor den registrerede er bosiddende, medmindre den dataansvarlige er en offentlig myndighed i en medlemsstat og udøver offentligretlige beføjelser.

| (146) | Den dataansvarlige eller databehandleren bør yde erstatning for enhver skade, som en person måtte lide som følge af behandling, der overtræder denne forordning. Den dataansvarlige eller databehandleren bør være fritaget for erstatningsansvar, hvis den pågældende beviser ikke at være ansvarlig for den forvoldte skade. Begrebet »skade« bør fortolkes bredt i lyset af retspraksis ved Domstolen, således at det fuldt ud afspejler formålene for denne forordning. Dette berører ikke eventuelle erstatningskrav for skade som følge af overtrædelse af andre bestemmelser i EU-retten eller medlemsstaternes nationale ret. Behandling, der overtræder denne forordning, omfatter også behandling, der overtræder delegerede retsakter og gennemførelsesretsakter vedtaget i henhold til denne forordning og til medlemsstaternes nationale ret, der præciserer bestemmelserne i denne forordning. Registrerede bør have fuld erstatning for den skade, som de har lidt. Hvis dataansvarlige eller databehandlere er involveret i den samme behandling, bør den enkelte dataansvarlige eller databehandler hæfte for hele erstatningen. Hvis de imidlertid er inddraget i den samme retssag i overensstemmelse med medlemsstaternes nationale ret, kan erstatning fordeles i henhold til den enkelte dataansvarliges eller databehandlers ansvar for den skade, der er forvoldt af behandlingen, forudsat at der sikres fuld erstatning til den registrerede, som har lidt skaden. Enhver dataansvarlig eller databehandler, der har betalt fuld erstatning, kan efterfølgende gøre regres mod andre dataansvarlige eller databehandlere, der er involveret i samme behandling. |
| --- | --- |

(146)

Den dataansvarlige eller databehandleren bør yde erstatning for enhver skade, som en person måtte lide som følge af behandling, der overtræder denne forordning. Den dataansvarlige eller databehandleren bør være fritaget for erstatningsansvar, hvis den pågældende beviser ikke at være ansvarlig for den forvoldte skade. Begrebet »skade« bør fortolkes bredt i lyset af retspraksis ved Domstolen, således at det fuldt ud afspejler formålene for denne forordning. Dette berører ikke eventuelle erstatningskrav for skade som følge af overtrædelse af andre bestemmelser i EU-retten eller medlemsstaternes nationale ret. Behandling, der overtræder denne forordning, omfatter også behandling, der overtræder delegerede retsakter og gennemførelsesretsakter vedtaget i henhold til denne forordning og til medlemsstaternes nationale ret, der præciserer bestemmelserne i denne forordning. Registrerede bør have fuld erstatning for den skade, som de har lidt. Hvis dataansvarlige eller databehandlere er involveret i den samme behandling, bør den enkelte dataansvarlige eller databehandler hæfte for hele erstatningen. Hvis de imidlertid er inddraget i den samme retssag i overensstemmelse med medlemsstaternes nationale ret, kan erstatning fordeles i henhold til den enkelte dataansvarliges eller databehandlers ansvar for den skade, der er forvoldt af behandlingen, forudsat at der sikres fuld erstatning til den registrerede, som har lidt skaden. Enhver dataansvarlig eller databehandler, der har betalt fuld erstatning, kan efterfølgende gøre regres mod andre dataansvarlige eller databehandlere, der er involveret i samme behandling.

| (147) | Når denne forordning indeholder specifikke kompetenceregler, navnlig for så vidt angår sager om adgang til retsmidler, herunder erstatning, mod en dataansvarlig eller databehandler, bør de almindelige kompetenceregler i Europa-Parlamentets og Rådets forordning (EU) nr. 1215/2012 (13) ikke berøre anvendelsen af sådanne specifikke regler. |
| --- | --- |

(147)

Når denne forordning indeholder specifikke kompetenceregler, navnlig for så vidt angår sager om adgang til retsmidler, herunder erstatning, mod en dataansvarlig eller databehandler, bør de almindelige kompetenceregler i Europa-Parlamentets og Rådets forordning (EU) nr. 1215/2012 (13) ikke berøre anvendelsen af sådanne specifikke regler.

| (148) | For at styrke håndhævelsen af reglerne i denne forordning bør der pålægges sanktioner, herunder administrative bøder, for overtrædelse af denne forordning i tillæg til eller i stedet for passende foranstaltninger, som tilsynsmyndigheden har pålagt i henhold til denne forordning. I tilfælde af en mindre overtrædelse, eller hvis den bøde, der kunne blive pålagt, ville udgøre en uforholdsmæssig stor byrde for en fysisk person, kan der udstedes en irettesættelse i stedet for en bøde. Der bør dog tages behørigt hensyn til overtrædelsens karakter, alvor og varighed, overtrædelsens eventuelle forsætlige karakter, foranstaltninger, der er truffet for at begrænse den forvoldte skade, graden af ansvar eller eventuelle relevante tidligere overtrædelser, måden, hvorpå tilsynsmyndigheden fik kendskab til overtrædelsen, overholdelse af foranstaltninger truffet over for den dataansvarlige eller databehandleren, overholdelse af en adfærdskodeks samt andre skærpende eller formildende faktorer. Pålæggelse af sanktioner, herunder administrative bøder, bør være omfattet af fornødne proceduremæssige garantier i overensstemmelse med de generelle principper i EU-retten og chartret, herunder effektiv retsbeskyttelse og en retfærdig procedure. |
| --- | --- |

(148)

For at styrke håndhævelsen af reglerne i denne forordning bør der pålægges sanktioner, herunder administrative bøder, for overtrædelse af denne forordning i tillæg til eller i stedet for passende foranstaltninger, som tilsynsmyndigheden har pålagt i henhold til denne forordning. I tilfælde af en mindre overtrædelse, eller hvis den bøde, der kunne blive pålagt, ville udgøre en uforholdsmæssig stor byrde for en fysisk person, kan der udstedes en irettesættelse i stedet for en bøde. Der bør dog tages behørigt hensyn til overtrædelsens karakter, alvor og varighed, overtrædelsens eventuelle forsætlige karakter, foranstaltninger, der er truffet for at begrænse den forvoldte skade, graden af ansvar eller eventuelle relevante tidligere overtrædelser, måden, hvorpå tilsynsmyndigheden fik kendskab til overtrædelsen, overholdelse af foranstaltninger truffet over for den dataansvarlige eller databehandleren, overholdelse af en adfærdskodeks samt andre skærpende eller formildende faktorer. Pålæggelse af sanktioner, herunder administrative bøder, bør være omfattet af fornødne proceduremæssige garantier i overensstemmelse med de generelle principper i EU-retten og chartret, herunder effektiv retsbeskyttelse og en retfærdig procedure.

| (149) | Medlemsstaterne bør kunne fastsætte regler om strafferetlige sanktioner for overtrædelse af denne forordning, herunder for overtrædelse af nationale regler vedtaget i henhold til og inden for rammerne af denne forordning. Disse strafferetlige sanktioner kan også åbne mulighed for fratagelse af den opnåede fortjeneste ved overtrædelse af denne forordning. Pålæggelse af strafferetlige sanktioner for overtrædelse af sådanne nationale regler og administrative sanktioner bør dog ikke føre til et brud på ne bis in idem-princippet som fortolket af Domstolen. |
| --- | --- |

(149)

Medlemsstaterne bør kunne fastsætte regler om strafferetlige sanktioner for overtrædelse af denne forordning, herunder for overtrædelse af nationale regler vedtaget i henhold til og inden for rammerne af denne forordning. Disse strafferetlige sanktioner kan også åbne mulighed for fratagelse af den opnåede fortjeneste ved overtrædelse af denne forordning. Pålæggelse af strafferetlige sanktioner for overtrædelse af sådanne nationale regler og administrative sanktioner bør dog ikke føre til et brud på ne bis in idem-princippet som fortolket af Domstolen.

| (150) | For at styrke og harmonisere de administrative sanktioner for overtrædelse af denne forordning bør hver tilsynsmyndighed have beføjelse til at pålægge administrative bøder. Denne forordning bør angive overtrædelser og maksimumsbeløb og kriterier for fastsættelse af de tilknyttede administrative bøder, der bør bestemmes af den kompetente tilsynsmyndighed i hvert enkelt tilfælde under hensyntagen til alle relevante omstændigheder i den specifikke situation og med behørig hensyntagen til karakteren, alvoren og varigheden af overtrædelsen og dens konsekvenser og de foranstaltninger, der er truffet for at sikre overholdelse af forpligtelserne i henhold til denne forordning og for at forebygge eller begrænse følgerne af overtrædelsen. Når en virksomhed pålægges administrative bøder, forstås en virksomhed i denne forbindelse som en virksomhed som omhandlet i artikel 101 og 102 i TEUF. Når personer, der ikke er en virksomhed, pålægges administrative bøder, bør tilsynsmyndigheden i forbindelse med fastsættelsen af bødestørrelsen tage hensyn til det generelle indkomstniveau i den pågældende medlemsstat og personens økonomiske situation. Sammenhængsmekanismen kan også anvendes til at fremme konsekvent anvendelse af administrative bøder. Det bør være op til medlemsstaterne at bestemme, om og i hvilket omfang de offentlige myndigheder bør kunne pålægges administrative bøder. Pålæggelse af en administrativ bøde eller udstedelse af en advarsel berører ikke anvendelsen af tilsynsmyndighedernes øvrige beføjelser eller andre sanktioner i henhold til denne forordning. |
| --- | --- |

(150)

For at styrke og harmonisere de administrative sanktioner for overtrædelse af denne forordning bør hver tilsynsmyndighed have beføjelse til at pålægge administrative bøder. Denne forordning bør angive overtrædelser og maksimumsbeløb og kriterier for fastsættelse af de tilknyttede administrative bøder, der bør bestemmes af den kompetente tilsynsmyndighed i hvert enkelt tilfælde under hensyntagen til alle relevante omstændigheder i den specifikke situation og med behørig hensyntagen til karakteren, alvoren og varigheden af overtrædelsen og dens konsekvenser og de foranstaltninger, der er truffet for at sikre overholdelse af forpligtelserne i henhold til denne forordning og for at forebygge eller begrænse følgerne af overtrædelsen. Når en virksomhed pålægges administrative bøder, forstås en virksomhed i denne forbindelse som en virksomhed som omhandlet i artikel 101 og 102 i TEUF. Når personer, der ikke er en virksomhed, pålægges administrative bøder, bør tilsynsmyndigheden i forbindelse med fastsættelsen af bødestørrelsen tage hensyn til det generelle indkomstniveau i den pågældende medlemsstat og personens økonomiske situation. Sammenhængsmekanismen kan også anvendes til at fremme konsekvent anvendelse af administrative bøder. Det bør være op til medlemsstaterne at bestemme, om og i hvilket omfang de offentlige myndigheder bør kunne pålægges administrative bøder. Pålæggelse af en administrativ bøde eller udstedelse af en advarsel berører ikke anvendelsen af tilsynsmyndighedernes øvrige beføjelser eller andre sanktioner i henhold til denne forordning.

| (151) | Retssystemerne i Danmark og Estland giver ikke mulighed for administrative bøder som fastsat i denne forordning. Reglerne om administrative bøder kan i Danmark anvendes ved, at bøder pålægges af de kompetente nationale domstole som en strafferetlig sanktion, og i Estland ved, at bøder pålægges af tilsynsmyndigheden inden for rammerne af en forseelsesprocedure, forudsat at en sådan anvendelse af reglerne i disse medlemsstater har en virkning, der svarer til virkningen af administrative bøder, som tilsynsmyndighederne pålægger. De kompetente nationale domstole bør derfor tage hensyn til en anbefaling fra den tilsynsmyndighed, der har taget skridt til en bøde. De pålagte bøder bør under alle omstændigheder være effektive, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning. |
| --- | --- |

(151)

Retssystemerne i Danmark og Estland giver ikke mulighed for administrative bøder som fastsat i denne forordning. Reglerne om administrative bøder kan i Danmark anvendes ved, at bøder pålægges af de kompetente nationale domstole som en strafferetlig sanktion, og i Estland ved, at bøder pålægges af tilsynsmyndigheden inden for rammerne af en forseelsesprocedure, forudsat at en sådan anvendelse af reglerne i disse medlemsstater har en virkning, der svarer til virkningen af administrative bøder, som tilsynsmyndighederne pålægger. De kompetente nationale domstole bør derfor tage hensyn til en anbefaling fra den tilsynsmyndighed, der har taget skridt til en bøde. De pålagte bøder bør under alle omstændigheder være effektive, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning.

| (152) | Når denne forordning ikke harmoniserer administrative sanktioner eller om nødvendigt i andre tilfælde, f.eks. i tilfælde af alvorlige overtrædelser af denne forordning, bør medlemsstaterne indføre en ordning, der giver mulighed for at pålægge sanktioner, som er effektive, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning. Sanktionernes art, strafferetlig eller administrativ, bør fastsættes i medlemsstaternes nationale ret. |
| --- | --- |

(152)

Når denne forordning ikke harmoniserer administrative sanktioner eller om nødvendigt i andre tilfælde, f.eks. i tilfælde af alvorlige overtrædelser af denne forordning, bør medlemsstaterne indføre en ordning, der giver mulighed for at pålægge sanktioner, som er effektive, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning. Sanktionernes art, strafferetlig eller administrativ, bør fastsættes i medlemsstaternes nationale ret.

| (153) | Medlemsstatslovgivningen bør forene reglerne om ytrings- og informationsfrihed, herunder i forbindelse med journalistisk, akademisk, kunstnerisk og/eller litterær virksomhed, med retten til beskyttelse af personoplysninger i henhold til denne forordning. Der bør fastsættes undtagelser eller fravigelser fra visse bestemmelser i denne forordning for behandling af personoplysninger, der udelukkende finder sted i journalistisk øjemed eller med henblik på akademisk, kunstnerisk eller litterær virksomhed, hvis det er nødvendigt for at forene retten til beskyttelse af personoplysninger med retten til ytrings- og informationsfrihed som garanteret ved artikel 11 i chartret. Dette bør navnlig gælde for behandlingen af personoplysninger på det audiovisuelle område og i nyhedsarkiver og pressebiblioteker. Medlemsstaterne bør derfor vedtage lovgivningsmæssige foranstaltninger, der fastlægger undtagelser og fravigelser, som er nødvendige af hensyn til balancen mellem disse grundlæggende rettigheder. Medlemsstaterne bør vedtage sådanne undtagelser og fravigelser vedrørende generelle principper, den registreredes rettigheder, den dataansvarlige og databehandleren, overførsel af personoplysninger til tredjelande eller internationale organisationer, de uafhængige tilsynsmyndigheder, samarbejde og sammenhæng samt specifikke databehandlingssituationer. Hvis disse undtagelser eller fravigelser varierer fra en medlemsstat til en anden, bør den nationale ret i den medlemsstat, som den dataansvarlige er underlagt, finde anvendelse. For at tage hensyn til betydningen af retten til ytringsfrihed i ethvert demokratisk samfund er det nødvendigt at tolke begreber vedrørende denne frihed, f.eks. journalistik, bredt. |
| --- | --- |

(153)

Medlemsstatslovgivningen bør forene reglerne om ytrings- og informationsfrihed, herunder i forbindelse med journalistisk, akademisk, kunstnerisk og/eller litterær virksomhed, med retten til beskyttelse af personoplysninger i henhold til denne forordning. Der bør fastsættes undtagelser eller fravigelser fra visse bestemmelser i denne forordning for behandling af personoplysninger, der udelukkende finder sted i journalistisk øjemed eller med henblik på akademisk, kunstnerisk eller litterær virksomhed, hvis det er nødvendigt for at forene retten til beskyttelse af personoplysninger med retten til ytrings- og informationsfrihed som garanteret ved artikel 11 i chartret. Dette bør navnlig gælde for behandlingen af personoplysninger på det audiovisuelle område og i nyhedsarkiver og pressebiblioteker. Medlemsstaterne bør derfor vedtage lovgivningsmæssige foranstaltninger, der fastlægger undtagelser og fravigelser, som er nødvendige af hensyn til balancen mellem disse grundlæggende rettigheder. Medlemsstaterne bør vedtage sådanne undtagelser og fravigelser vedrørende generelle principper, den registreredes rettigheder, den dataansvarlige og databehandleren, overførsel af personoplysninger til tredjelande eller internationale organisationer, de uafhængige tilsynsmyndigheder, samarbejde og sammenhæng samt specifikke databehandlingssituationer. Hvis disse undtagelser eller fravigelser varierer fra en medlemsstat til en anden, bør den nationale ret i den medlemsstat, som den dataansvarlige er underlagt, finde anvendelse. For at tage hensyn til betydningen af retten til ytringsfrihed i ethvert demokratisk samfund er det nødvendigt at tolke begreber vedrørende denne frihed, f.eks. journalistik, bredt.

| (154) | Denne forordning giver mulighed for, at der ved anvendelsen af denne forordning, kan tages hensyn til princippet om aktindsigt i officielle dokumenter. Aktindsigt i officielle dokumenter kan anses for at være i samfundets interesse. Personoplysninger i dokumenter, der opbevares af en offentlig myndighed eller et offentligt organ, bør kunne offentliggøres af denne myndighed eller dette organ, hvis dette er fastsat i EU-retten eller medlemsstaternes nationale ret, som den offentlige myndighed eller det offentlige organ er underlagt. Sådanne regler bør forene aktindsigt i officielle dokumenter og videreanvendelse af den offentlige sektors information med retten til beskyttelse af personoplysninger og kan derfor indeholde den nødvendige forening med retten til beskyttelse af personoplysninger i henhold til denne forordning. Offentlige myndigheder og organer bør i denne sammenhæng omfatte alle myndigheder eller andre organer, der er omfattet af medlemsstaternes nationale ret om aktindsigt. Europa-Parlamentets og Rådets direktiv 2003/98/EF (14) opretholder og griber på ingen måde ind i beskyttelsesniveauet for fysiske personer med hensyn til behandling af personoplysninger i henhold til EU-retten og medlemsstaternes nationale ret, og det ændrer navnlig ikke de forpligtelser og rettigheder, der er fastsat i denne forordning. Dette direktiv bør navnlig ikke gælde for dokumenter, hvortil adgang er udelukket eller begrænset i henhold til aktindsigtsordningerne under henvisning til beskyttelse af personoplysninger, og dele af dokumenter, der i henhold til disse ordninger er adgang til, og som indeholder personoplysninger, hvis videreanvendelse ifølge lovgivningen er uforenelig med lovgivningen om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger. |
| --- | --- |

(154)

Denne forordning giver mulighed for, at der ved anvendelsen af denne forordning, kan tages hensyn til princippet om aktindsigt i officielle dokumenter. Aktindsigt i officielle dokumenter kan anses for at være i samfundets interesse. Personoplysninger i dokumenter, der opbevares af en offentlig myndighed eller et offentligt organ, bør kunne offentliggøres af denne myndighed eller dette organ, hvis dette er fastsat i EU-retten eller medlemsstaternes nationale ret, som den offentlige myndighed eller det offentlige organ er underlagt. Sådanne regler bør forene aktindsigt i officielle dokumenter og videreanvendelse af den offentlige sektors information med retten til beskyttelse af personoplysninger og kan derfor indeholde den nødvendige forening med retten til beskyttelse af personoplysninger i henhold til denne forordning. Offentlige myndigheder og organer bør i denne sammenhæng omfatte alle myndigheder eller andre organer, der er omfattet af medlemsstaternes nationale ret om aktindsigt. Europa-Parlamentets og Rådets direktiv 2003/98/EF (14) opretholder og griber på ingen måde ind i beskyttelsesniveauet for fysiske personer med hensyn til behandling af personoplysninger i henhold til EU-retten og medlemsstaternes nationale ret, og det ændrer navnlig ikke de forpligtelser og rettigheder, der er fastsat i denne forordning. Dette direktiv bør navnlig ikke gælde for dokumenter, hvortil adgang er udelukket eller begrænset i henhold til aktindsigtsordningerne under henvisning til beskyttelse af personoplysninger, og dele af dokumenter, der i henhold til disse ordninger er adgang til, og som indeholder personoplysninger, hvis videreanvendelse ifølge lovgivningen er uforenelig med lovgivningen om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger.

| (155) | Medlemsstaternes nationale ret eller kollektive overenskomster, herunder »lokalaftaler«, kan fastsætte specifikke bestemmelser om behandling af arbejdstageres personoplysninger i ansættelsesforhold, navnlig betingelserne for, hvorledes personoplysninger i ansættelsesforhold kan behandles på grundlag af arbejdstagerens samtykke, og i forbindelse med ansættelse, ansættelseskontrakter, herunder godtgørelse for forpligtelser fastlagt ved lov eller kollektive overenskomster, ledelse, planlægning og tilrettelæggelse af arbejdet, ligestilling og mangfoldighed på arbejdspladsen, sikkerhed og sundhed på arbejdspladsen, individuel eller kollektiv udøvelse og nydelse af rettigheder og fordele i forbindelse med ansættelse samt ophør af ansættelsesforhold. |
| --- | --- |

(155)

Medlemsstaternes nationale ret eller kollektive overenskomster, herunder »lokalaftaler«, kan fastsætte specifikke bestemmelser om behandling af arbejdstageres personoplysninger i ansættelsesforhold, navnlig betingelserne for, hvorledes personoplysninger i ansættelsesforhold kan behandles på grundlag af arbejdstagerens samtykke, og i forbindelse med ansættelse, ansættelseskontrakter, herunder godtgørelse for forpligtelser fastlagt ved lov eller kollektive overenskomster, ledelse, planlægning og tilrettelæggelse af arbejdet, ligestilling og mangfoldighed på arbejdspladsen, sikkerhed og sundhed på arbejdspladsen, individuel eller kollektiv udøvelse og nydelse af rettigheder og fordele i forbindelse med ansættelse samt ophør af ansættelsesforhold.

| (156) | Behandling af personoplysninger til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål bør være omfattet af fornødne garantier for den registreredes rettigheder og frihedsrettigheder i henhold til denne forordning. Disse garantier bør sikre, at der er truffet tekniske og organisatoriske foranstaltninger for især at sikre princippet om dataminimering. Viderebehandling af personoplysninger til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål skal foretages, når den dataansvarlige har vurderet muligheden for at opfylde disse formål ved at behandle oplysninger, som ikke gør det muligt eller ikke længere gør det muligt at identificere de registrerede, forudsat at de fornødne garantier foreligger (såsom f.eks. pseudonymisering af oplysninger). Medlemsstaterne bør sikre de fornødne garantier for behandling af personoplysninger til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål. Medlemsstaterne bør have tilladelse til på særlige betingelser og med de fornødne garantier for de registrerede at fastsætte præciseringer af og undtagelser med hensyn til oplysningskravene og retten til berigtigelse eller sletning af personoplysninger, retten til at blive glemt, retten til begrænsning af behandling, retten til dataportabilitet og retten til indsigelse i forbindelse med behandling af personoplysninger til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål. De pågældende betingelser og garantier kan indebære specifikke procedurer for registreredes udøvelse af rettigheder, hvis dette er relevant i lyset af de formål, der tilstræbes med den specifikke behandling, foruden tekniske og organisatoriske foranstaltninger med henblik på at minimere behandlingen af personoplysninger i medfør af proportionalitetsprincippet og nødvendighedsprincippet. Behandling af personoplysninger til videnskabelige formål bør også overholde anden relevant lovgivning, f.eks. om kliniske forsøg. |
| --- | --- |

(156)

Behandling af personoplysninger til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål bør være omfattet af fornødne garantier for den registreredes rettigheder og frihedsrettigheder i henhold til denne forordning. Disse garantier bør sikre, at der er truffet tekniske og organisatoriske foranstaltninger for især at sikre princippet om dataminimering. Viderebehandling af personoplysninger til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål skal foretages, når den dataansvarlige har vurderet muligheden for at opfylde disse formål ved at behandle oplysninger, som ikke gør det muligt eller ikke længere gør det muligt at identificere de registrerede, forudsat at de fornødne garantier foreligger (såsom f.eks. pseudonymisering af oplysninger). Medlemsstaterne bør sikre de fornødne garantier for behandling af personoplysninger til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål. Medlemsstaterne bør have tilladelse til på særlige betingelser og med de fornødne garantier for de registrerede at fastsætte præciseringer af og undtagelser med hensyn til oplysningskravene og retten til berigtigelse eller sletning af personoplysninger, retten til at blive glemt, retten til begrænsning af behandling, retten til dataportabilitet og retten til indsigelse i forbindelse med behandling af personoplysninger til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål. De pågældende betingelser og garantier kan indebære specifikke procedurer for registreredes udøvelse af rettigheder, hvis dette er relevant i lyset af de formål, der tilstræbes med den specifikke behandling, foruden tekniske og organisatoriske foranstaltninger med henblik på at minimere behandlingen af personoplysninger i medfør af proportionalitetsprincippet og nødvendighedsprincippet. Behandling af personoplysninger til videnskabelige formål bør også overholde anden relevant lovgivning, f.eks. om kliniske forsøg.

| (157) | Ved at sammenstille oplysninger fra registre kan forskere opnå ny viden af stor værdi for så vidt angår udbredte sygdomstilstande såsom hjerte-kar-sygdomme, kræft og depression. På basis af registre kan forskningsresultater styrkes, da de bygger på en større befolkningsgruppe. Inden for samfundsvidenskab gør forskning på basis af registre det muligt for forskere at opnå afgørende viden om langtidssammenhæng mellem en række sociale forhold, f.eks. arbejdsløshed og uddannelse, med andre livsvilkår. Forskningsresultater, der opnås gennem registre, leverer solid viden af høj kvalitet, som kan danne grundlag for udformning og gennemførelse af videnbaseret politik, forbedre livskvaliteten for mange mennesker og øge effektiviteten af de sociale tjenester. For at fremme videnskabelig forskning kan personoplysninger behandles til videnskabelige forskningsformål under iagttagelse af passende betingelser og garantier i EU-retten eller medlemsstaternes nationale ret. |
| --- | --- |

(157)

Ved at sammenstille oplysninger fra registre kan forskere opnå ny viden af stor værdi for så vidt angår udbredte sygdomstilstande såsom hjerte-kar-sygdomme, kræft og depression. På basis af registre kan forskningsresultater styrkes, da de bygger på en større befolkningsgruppe. Inden for samfundsvidenskab gør forskning på basis af registre det muligt for forskere at opnå afgørende viden om langtidssammenhæng mellem en række sociale forhold, f.eks. arbejdsløshed og uddannelse, med andre livsvilkår. Forskningsresultater, der opnås gennem registre, leverer solid viden af høj kvalitet, som kan danne grundlag for udformning og gennemførelse af videnbaseret politik, forbedre livskvaliteten for mange mennesker og øge effektiviteten af de sociale tjenester. For at fremme videnskabelig forskning kan personoplysninger behandles til videnskabelige forskningsformål under iagttagelse af passende betingelser og garantier i EU-retten eller medlemsstaternes nationale ret.

| (158) | Når personoplysninger behandles til arkivformål, bør denne forordning også gælde for den pågældende behandling, idet denne forordning dog ikke bør finde anvendelse på afdøde personer. Offentlige myndigheder eller offentlige eller private organer, der opbevarer fortegnelser af samfundsinteresse, bør være tjenester, der i henhold til EU-retten eller medlemsstaternes nationale ret har retlig forpligtelse til at indhente, bevare, vurdere, ordne, beskrive, udlevere, fremme, formidle og give adgang til fortegnelser af blivende værdi i samfundets interesse. Medlemsstaterne bør også have tilladelse til at fastsætte, at personoplysninger kan viderebehandles til arkivformål, f.eks. for at tilvejebringe specifikke oplysninger om politisk adfærd under tidligere totalitære regimer, folkedrab, forbrydelser mod menneskeheden, navnlig holocaust, eller krigsforbrydelser. |
| --- | --- |

(158)

Når personoplysninger behandles til arkivformål, bør denne forordning også gælde for den pågældende behandling, idet denne forordning dog ikke bør finde anvendelse på afdøde personer. Offentlige myndigheder eller offentlige eller private organer, der opbevarer fortegnelser af samfundsinteresse, bør være tjenester, der i henhold til EU-retten eller medlemsstaternes nationale ret har retlig forpligtelse til at indhente, bevare, vurdere, ordne, beskrive, udlevere, fremme, formidle og give adgang til fortegnelser af blivende værdi i samfundets interesse. Medlemsstaterne bør også have tilladelse til at fastsætte, at personoplysninger kan viderebehandles til arkivformål, f.eks. for at tilvejebringe specifikke oplysninger om politisk adfærd under tidligere totalitære regimer, folkedrab, forbrydelser mod menneskeheden, navnlig holocaust, eller krigsforbrydelser.

| (159) | Når personoplysninger behandles til videnskabelige forskningsformål, bør denne forordning også finde anvendelse på denne behandling. Behandlingen af personoplysninger til videnskabelige forskningsformål bør med henblik på denne forordning fortolkes bredt og f.eks. omfatte teknologisk udvikling og demonstration, grundforskning, anvendt forskning og privat finansieret forskning. Desuden bør den tage hensyn til Unionens mål om et europæisk forskningsrum, jf. artikel 179, stk. 1, i TEUF. Videnskabelige forskningsformål bør også omfatte studier, der udføres i samfundets interesse på folkesundhedsområdet. For at tage hensyn til de særlige forhold, der gør sig gældende ved behandling af personoplysninger til videnskabelige forskningsformål, bør der gælde særlige betingelser navnlig for offentliggørelse eller anden fremlæggelse af personoplysninger i forbindelse med videnskabelige forskningsformål. Hvis resultatet af videnskabelig forskning navnlig inden for sundhed giver grund til yderligere foranstaltninger i den registreredes interesse, bør de generelle regler i denne forordning finde anvendelse med henblik på disse foranstaltninger. |
| --- | --- |

(159)

Når personoplysninger behandles til videnskabelige forskningsformål, bør denne forordning også finde anvendelse på denne behandling. Behandlingen af personoplysninger til videnskabelige forskningsformål bør med henblik på denne forordning fortolkes bredt og f.eks. omfatte teknologisk udvikling og demonstration, grundforskning, anvendt forskning og privat finansieret forskning. Desuden bør den tage hensyn til Unionens mål om et europæisk forskningsrum, jf. artikel 179, stk. 1, i TEUF. Videnskabelige forskningsformål bør også omfatte studier, der udføres i samfundets interesse på folkesundhedsområdet. For at tage hensyn til de særlige forhold, der gør sig gældende ved behandling af personoplysninger til videnskabelige forskningsformål, bør der gælde særlige betingelser navnlig for offentliggørelse eller anden fremlæggelse af personoplysninger i forbindelse med videnskabelige forskningsformål. Hvis resultatet af videnskabelig forskning navnlig inden for sundhed giver grund til yderligere foranstaltninger i den registreredes interesse, bør de generelle regler i denne forordning finde anvendelse med henblik på disse foranstaltninger.

| (160) | Når personoplysninger behandles til historiske forskningsformål, bør denne forordning også gælde for denne behandling. Dette bør også omfatte historisk forskning og forskning i genealogisk øjemed, idet denne forordning dog ikke bør gælde for afdøde personer. |
| --- | --- |

(160)

Når personoplysninger behandles til historiske forskningsformål, bør denne forordning også gælde for denne behandling. Dette bør også omfatte historisk forskning og forskning i genealogisk øjemed, idet denne forordning dog ikke bør gælde for afdøde personer.

| (161) | For så vidt angår samtykke til deltagelse i videnskabelige forskningsaktiviteter i forbindelse med kliniske forsøg bør de relevante bestemmelser i Europa-Parlamentets og Rådets forordning (EU) nr. 536/2014 (15) finde anvendelse. |
| --- | --- |

(161)

For så vidt angår samtykke til deltagelse i videnskabelige forskningsaktiviteter i forbindelse med kliniske forsøg bør de relevante bestemmelser i Europa-Parlamentets og Rådets forordning (EU) nr. 536/2014 (15) finde anvendelse.

| (162) | Når personoplysninger behandles til statistiske formål, bør denne forordning finde anvendelse på denne behandling. EU-retten eller medlemsstaternes nationale ret bør inden for rammerne af denne forordning fastsætte statistisk indhold, adgangskontrol, præciseringer for behandling af personoplysninger til statistiske formål og passende foranstaltninger til at beskytte den registreredes rettigheder og frihedsrettigheder og sikre statistisk fortrolighed. Ved statistiske formål forstås enhver indsamling og behandlingen af personoplysninger, der er nødvendig for statistiske undersøgelser eller frembringelse af statistiske resultater. Disse statistiske resultater kan videreanvendes til forskellige formål, herunder videnskabelige forskningsformål. Det statistiske formål indebærer, at resultatet af behandling til statistiske formål ikke er personoplysninger, men aggregerede data, og at dette resultat eller personoplysningerne ikke anvendes til støtte for foranstaltninger eller afgørelser, der vedrører bestemte fysiske personer. |
| --- | --- |

(162)

Når personoplysninger behandles til statistiske formål, bør denne forordning finde anvendelse på denne behandling. EU-retten eller medlemsstaternes nationale ret bør inden for rammerne af denne forordning fastsætte statistisk indhold, adgangskontrol, præciseringer for behandling af personoplysninger til statistiske formål og passende foranstaltninger til at beskytte den registreredes rettigheder og frihedsrettigheder og sikre statistisk fortrolighed. Ved statistiske formål forstås enhver indsamling og behandlingen af personoplysninger, der er nødvendig for statistiske undersøgelser eller frembringelse af statistiske resultater. Disse statistiske resultater kan videreanvendes til forskellige formål, herunder videnskabelige forskningsformål. Det statistiske formål indebærer, at resultatet af behandling til statistiske formål ikke er personoplysninger, men aggregerede data, og at dette resultat eller personoplysningerne ikke anvendes til støtte for foranstaltninger eller afgørelser, der vedrører bestemte fysiske personer.

| (163) | De fortrolige oplysninger, som Unionen og de nationale statistikmyndigheder indsamler til udarbejdelse af officielle europæiske og officielle nationale statistikker, bør beskyttes. Europæiske statistikker bør udvikles, udarbejdes og formidles i overensstemmelse med de statistiske principper, der er beskrevet i artikel 338, stk. 2, i TEUF, mens nationale statistikker også bør overholde medlemsstaternes nationale ret. Europa-Parlamentets og Rådets forordning (EF) nr. 223/2009 (16) indeholder yderligere præciseringer om statistisk fortrolighed for europæiske statistikker. |
| --- | --- |

(163)

De fortrolige oplysninger, som Unionen og de nationale statistikmyndigheder indsamler til udarbejdelse af officielle europæiske og officielle nationale statistikker, bør beskyttes. Europæiske statistikker bør udvikles, udarbejdes og formidles i overensstemmelse med de statistiske principper, der er beskrevet i artikel 338, stk. 2, i TEUF, mens nationale statistikker også bør overholde medlemsstaternes nationale ret. Europa-Parlamentets og Rådets forordning (EF) nr. 223/2009 (16) indeholder yderligere præciseringer om statistisk fortrolighed for europæiske statistikker.

| (164) | Hvad angår tilsynsmyndighedernes beføjelser til af den dataansvarlige eller databehandleren at få indsigt i personoplysninger og adgang til den pågældendes lokaler kan medlemsstaterne inden for rammerne af denne forordning ved lov vedtage specifikke regler med det formål at sikre faglig eller anden tilsvarende tavshedspligt, for så vidt det er nødvendigt for at forene retten til beskyttelse af personoplysninger med tavshedspligt. Dette berører ikke medlemsstaternes eksisterende forpligtelser til at vedtage regler om tavshedspligt, hvis det kræves i EU-retten. |
| --- | --- |

(164)

Hvad angår tilsynsmyndighedernes beføjelser til af den dataansvarlige eller databehandleren at få indsigt i personoplysninger og adgang til den pågældendes lokaler kan medlemsstaterne inden for rammerne af denne forordning ved lov vedtage specifikke regler med det formål at sikre faglig eller anden tilsvarende tavshedspligt, for så vidt det er nødvendigt for at forene retten til beskyttelse af personoplysninger med tavshedspligt. Dette berører ikke medlemsstaternes eksisterende forpligtelser til at vedtage regler om tavshedspligt, hvis det kræves i EU-retten.

| (165) | Denne forordning respekterer og anfægter ikke den status i henhold til eksisterende forfatningsretlige bestemmelser, som kirker og religiøse sammenslutninger eller samfund har i medlemsstaterne, jf. artikel 17 i TEUF. |
| --- | --- |

(165)

Denne forordning respekterer og anfægter ikke den status i henhold til eksisterende forfatningsretlige bestemmelser, som kirker og religiøse sammenslutninger eller samfund har i medlemsstaterne, jf. artikel 17 i TEUF.

| (166) | For at opfylde denne forordnings målsætninger, dvs. at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger, og for at sikre fri udveksling af personoplysninger i Unionen bør beføjelsen til at vedtage retsakter i henhold til artikel 290 i TEUF delegeres til Kommissionen. Der bør navnlig vedtages delegerede retsakter om kriterier for og krav til certificeringsmekanismer, oplysninger, der skal fremgå af standardiserede ikoner, og procedurer for tilvejebringelse af sådanne ikoner. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau. Kommissionen bør sikre samtidig, rettidig og hensigtsmæssig fremsendelse af relevante dokumenter til Europa-Parlamentet og til Rådet, når den forbereder og udarbejder delegerede retsakter. |
| --- | --- |

(166)

For at opfylde denne forordnings målsætninger, dvs. at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger, og for at sikre fri udveksling af personoplysninger i Unionen bør beføjelsen til at vedtage retsakter i henhold til artikel 290 i TEUF delegeres til Kommissionen. Der bør navnlig vedtages delegerede retsakter om kriterier for og krav til certificeringsmekanismer, oplysninger, der skal fremgå af standardiserede ikoner, og procedurer for tilvejebringelse af sådanne ikoner. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau. Kommissionen bør sikre samtidig, rettidig og hensigtsmæssig fremsendelse af relevante dokumenter til Europa-Parlamentet og til Rådet, når den forbereder og udarbejder delegerede retsakter.

| (167) | For at sikre ensartede betingelser for gennemførelsen af denne forordning bør Kommissionen tillægges gennemførelsesbeføjelser, når dette er fastsat i denne forordning. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011. I den forbindelse bør Kommissionen overveje specifikke foranstaltninger for mikrovirksomheder og små og mellemstore virksomheder. |
| --- | --- |

(167)

For at sikre ensartede betingelser for gennemførelsen af denne forordning bør Kommissionen tillægges gennemførelsesbeføjelser, når dette er fastsat i denne forordning. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011. I den forbindelse bør Kommissionen overveje specifikke foranstaltninger for mikrovirksomheder og små og mellemstore virksomheder.

| (168) | Undersøgelsesproceduren bør anvendes til vedtagelse af gennemførelsesretsakter om standardkontraktbestemmelser mellem dataansvarlige og databehandlere og mellem databehandlere indbyrdes, adfærdskodekser, tekniske standarder og certificeringsmekanismer, tilstrækkeligt databeskyttelsesniveau, der sikres af et tredjeland, et område eller en specifik sektor i dette tredjeland, eller en international organisation, standardbestemmelser om databeskyttelse, formater og procedurer for elektronisk udveksling af oplysninger mellem dataansvarlige, databehandlere og tilsynsmyndigheder for bindende virksomhedsregler, gensidig bistand og ordninger for elektronisk udveksling af oplysninger mellem tilsynsmyndigheder og mellem tilsynsmyndigheder og Databeskyttelsesrådet. |
| --- | --- |

(168)

Undersøgelsesproceduren bør anvendes til vedtagelse af gennemførelsesretsakter om standardkontraktbestemmelser mellem dataansvarlige og databehandlere og mellem databehandlere indbyrdes, adfærdskodekser, tekniske standarder og certificeringsmekanismer, tilstrækkeligt databeskyttelsesniveau, der sikres af et tredjeland, et område eller en specifik sektor i dette tredjeland, eller en international organisation, standardbestemmelser om databeskyttelse, formater og procedurer for elektronisk udveksling af oplysninger mellem dataansvarlige, databehandlere og tilsynsmyndigheder for bindende virksomhedsregler, gensidig bistand og ordninger for elektronisk udveksling af oplysninger mellem tilsynsmyndigheder og mellem tilsynsmyndigheder og Databeskyttelsesrådet.

| (169) | Kommissionen bør vedtage gennemførelsesretsakter, der finder anvendelse straks, når foreliggende dokumentation viser, at et tredjeland, et område eller en specifik sektor i dette tredjeland, eller en international organisation ikke sikrer et tilstrækkeligt beskyttelsesniveau, og når det er påkrævet i særlig hastende tilfælde. |
| --- | --- |

(169)

Kommissionen bør vedtage gennemførelsesretsakter, der finder anvendelse straks, når foreliggende dokumentation viser, at et tredjeland, et område eller en specifik sektor i dette tredjeland, eller en international organisation ikke sikrer et tilstrækkeligt beskyttelsesniveau, og når det er påkrævet i særlig hastende tilfælde.

| (170) | Målet for denne forordning, nemlig at sikre et ensartet niveau for beskyttelse af fysiske personer og fri udveksling af oplysninger i Unionen, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af handlingens omfang og virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union (TEU). I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå dette mål. |
| --- | --- |

(170)

Målet for denne forordning, nemlig at sikre et ensartet niveau for beskyttelse af fysiske personer og fri udveksling af oplysninger i Unionen, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af handlingens omfang og virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union (TEU). I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå dette mål.

| (171) | Direktiv 95/46/EF bør ophæves ved denne forordning. Behandling, der allerede er indledt på datoen for denne forordnings anvendelse, bør bringes i overensstemmelse med forordningen senest to år efter ikrafttrædelsen heraf. Når behandling er baseret på samtykke i henhold til direktiv 95/46/EF, er det ikke nødvendigt, at den registrerede på ny giver sit samtykke, såfremt den måde, som samtykket er givet på, er i overensstemmelse med betingelserne i denne forordning; i så fald kan den dataansvarlige fortsætte behandlingen efter denne forordnings anvendelsesdato. Kommissionsafgørelser og -beslutninger, der er vedtaget i henhold til direktiv 95/46/EF, og tilsynsmyndigheders godkendelser baseret på direktiv 95/46/EF bør fortsat gælde, indtil de ændres, erstattes eller ophæves. |
| --- | --- |

(171)

Direktiv 95/46/EF bør ophæves ved denne forordning. Behandling, der allerede er indledt på datoen for denne forordnings anvendelse, bør bringes i overensstemmelse med forordningen senest to år efter ikrafttrædelsen heraf. Når behandling er baseret på samtykke i henhold til direktiv 95/46/EF, er det ikke nødvendigt, at den registrerede på ny giver sit samtykke, såfremt den måde, som samtykket er givet på, er i overensstemmelse med betingelserne i denne forordning; i så fald kan den dataansvarlige fortsætte behandlingen efter denne forordnings anvendelsesdato. Kommissionsafgørelser og -beslutninger, der er vedtaget i henhold til direktiv 95/46/EF, og tilsynsmyndigheders godkendelser baseret på direktiv 95/46/EF bør fortsat gælde, indtil de ændres, erstattes eller ophæves.

| (172) | Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 28, stk. 2, i forordning (EF) nr. 45/2001 og afgav en udtalelse den 7. marts 2012 (17). |
| --- | --- |

(172)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 28, stk. 2, i forordning (EF) nr. 45/2001 og afgav en udtalelse den 7. marts 2012 (17).

| (173) | Denne forordning bør gælde for alle forhold vedrørende beskyttelse af grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger, som ikke er underlagt specifikke forpligtelser med samme formål som fastsat i Europa-Parlamentets og Rådets direktiv 2002/58/EF (18), herunder den dataansvarliges forpligtelser og fysiske personers rettigheder. For at afklare forholdet mellem denne forordning og direktiv 2002/58/EF bør nævnte direktiv ændres i overensstemmelse hermed. Når denne forordning er vedtaget, bør direktiv 2002/58/EF revideres, navnlig for at sikre forenelighed med denne forordning — |
| --- | --- |

(173)

Denne forordning bør gælde for alle forhold vedrørende beskyttelse af grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger, som ikke er underlagt specifikke forpligtelser med samme formål som fastsat i Europa-Parlamentets og Rådets direktiv 2002/58/EF (18), herunder den dataansvarliges forpligtelser og fysiske personers rettigheder. For at afklare forholdet mellem denne forordning og direktiv 2002/58/EF bør nævnte direktiv ændres i overensstemmelse hermed. Når denne forordning er vedtaget, bør direktiv 2002/58/EF revideres, navnlig for at sikre forenelighed med denne forordning —

HAR VEDTAGET DENNE FORORDNING

KAPITEL I

Generelle bestemmelser

Artikel 1

Genstand og formål

1.   I denne forordning fastsættes regler om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og regler om fri udveksling af personoplysninger.

2.   Denne forordning beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger.

3.   Den frie udveksling af personoplysninger i Unionen må hverken indskrænkes eller forbydes af grunde, der vedrører beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger.

Artikel 2

Materielt anvendelsesområde

1.   Denne forordning finder anvendelse på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikkeautomatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.

2.   Denne forordning gælder ikke for behandling af personoplysninger:

| a) | under udøvelse af aktiviteter, der falder uden for EU-retten |
| --- | --- |

a)

under udøvelse af aktiviteter, der falder uden for EU-retten

| b) | som foretages af medlemsstaterne, når de udfører aktiviteter, der falder inden for rammerne af afsnit V, kapitel 2, i TEU |
| --- | --- |

b)

som foretages af medlemsstaterne, når de udfører aktiviteter, der falder inden for rammerne af afsnit V, kapitel 2, i TEU

| c) | som foretages af en fysisk person som led i rent personlige eller familiemæssige aktiviteter |
| --- | --- |

c)

som foretages af en fysisk person som led i rent personlige eller familiemæssige aktiviteter

| d) | som foretages af kompetente myndigheder med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed. |
| --- | --- |

d)

som foretages af kompetente myndigheder med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed.

3.   Forordning (EF) nr. 45/2001 finder anvendelse på behandling af personoplysninger, som Unionens institutioner, organer, kontorer og agenturer foretager. Forordning (EF) nr. 45/2001 og andre EU-retsakter, der finder anvendelse på sådan behandling af personoplysninger, tilpasses til principperne og bestemmelserne i nærværende forordning i overensstemmelse med artikel 98.

4.   Denne forordning berører ikke anvendelsen af direktiv 2000/31/EF, navnlig reglerne om formidleransvar for tjenesteydere, der er fastsat i artikel 12-15 i nævnte direktiv.

Artikel 3

Territorialt anvendelsesområde

1.   Denne forordning finder anvendelse på behandling af personoplysninger, som foretages som led i aktiviteter, der udføres for en dataansvarlig eller en databehandler, som er etableret i Unionen, uanset om behandlingen finder sted i Unionen eller ej.

2.   Denne forordning finder anvendelse på behandling af personoplysninger om registrerede, der er i Unionen, og som foretages af en dataansvarlig eller databehandler, der ikke er etableret i Unionen, hvis behandlingsaktiviteterne vedrører:

| a) | udbud af varer eller tjenester til sådanne registrerede i Unionen, uanset om betaling fra den registrerede er påkrævet, eller |
| --- | --- |

a)

udbud af varer eller tjenester til sådanne registrerede i Unionen, uanset om betaling fra den registrerede er påkrævet, eller

| b) | overvågning af sådanne registreredes adfærd, for så vidt deres adfærd finder sted i Unionen. |
| --- | --- |

b)

overvågning af sådanne registreredes adfærd, for så vidt deres adfærd finder sted i Unionen.

3.   Denne forordning anvendes på behandling af personoplysninger, som foretages af en dataansvarlig, der ikke er etableret i Unionen, men et sted, hvor medlemsstaternes nationale ret gælder i medfør af folkeretten.

Artikel 4

Definitioner

I denne forordning forstås ved:

1)   »personoplysninger«: enhver form for information om en identificeret eller identificerbar fysisk person (»den registrerede«); ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en onlineidentifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet

»personoplysninger«

2)   »behandling«: enhver aktivitet eller række af aktiviteter — med eller uden brug af automatisk behandling — som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse

»behandling«

3)   »begrænsning af behandling«: mærkning af opbevarede personoplysninger med den hensigt at begrænse fremtidig behandling af disse oplysninger

»begrænsning af behandling«

4)   »profilering«: enhver form for automatisk behandling af personoplysninger, der består i at anvende personoplysninger til at evaluere bestemte personlige forhold vedrørende en fysisk person, navnlig for at analysere eller forudsige forhold vedrørende den fysiske persons arbejdsindsats, økonomiske situation, helbred, personlige præferencer, interesser, pålidelighed, adfærd, geografisk position eller bevægelser

»profilering«

5)   »pseudonymisering«: behandling af personoplysninger på en sådan måde, at personoplysningerne ikke længere kan henføres til en bestemt registreret uden brug af supplerende oplysninger, forudsat at sådanne supplerende oplysninger opbevares separat og er underlagt tekniske og organisatoriske foranstaltninger for at sikre, at personoplysningerne ikke henføres til en identificeret eller identificerbar fysisk person

»pseudonymisering«

6)   »register«: enhver struktureret samling af personoplysninger, der er tilgængelig efter bestemte kriterier, hvad enten denne samling er placeret centralt eller decentralt eller er fordelt på funktionsbestemt eller geografisk grundlag

»register«

7)   »dataansvarlig«: en fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, der alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger; hvis formålene og hjælpemidlerne til en sådan behandling er fastlagt i EU-retten eller medlemsstaternes nationale ret, kan den dataansvarlige eller de specifikke kriterier for udpegelse af denne fastsættes i EU-retten eller medlemsstaternes nationale ret

»dataansvarlig«

8)   »databehandler«: en fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, der behandler personoplysninger på den dataansvarliges vegne

»databehandler«

9)   »modtager«: en fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, hvortil personoplysninger videregives, uanset om det er en tredjemand eller ej. Offentlige myndigheder, som vil kunne få meddelt personoplysninger som led i en isoleret forespørgsel i henhold til EU-retten eller medlemsstaternes nationale ret, anses dog ikke for modtagere; de offentlige myndigheders behandling af disse oplysninger skal overholde de gældende databeskyttelsesregler afhængigt af formålet med behandlingen

»modtager«

10)   »tredjemand«: en anden fysisk eller juridisk person, offentlig myndighed eller institution eller ethvert andet organ end den registrerede, den dataansvarlige, databehandleren og de personer under den dataansvarliges eller databehandlerens direkte myndighed, der er beføjet til at behandle personoplysninger

»tredjemand«

11)   »samtykke« fra den registrerede: enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling

»samtykke« fra den registrerede

12)   »brud på persondatasikkerheden«: et brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet

»brud på persondatasikkerheden«

13)   »genetiske data«: personoplysninger vedrørende en fysisk persons arvede eller erhvervede genetiske karakteristika, som giver entydig information om den fysiske persons fysiologi eller helbred, og som navnlig foreligger efter en analyse af en biologisk prøve fra den pågældende fysiske person

»genetiske data«

14)   »biometriske data«: personoplysninger, der som følge af specifik teknisk behandling vedrørende en fysisk persons fysiske, fysiologiske eller adfærdsmæssige karakteristika muliggør eller bekræfter en entydig identifikation af vedkommende, f.eks. ansigtsbillede eller fingeraftryksoplysninger

»biometriske data«

15)   »helbredsoplysninger«: personoplysninger, der vedrører en fysisk persons fysiske eller mentale helbred, herunder levering af sundhedsydelser, og som giver information om vedkommendes helbredstilstand

»helbredsoplysninger«

16)   »hovedvirksomhed«:

»hovedvirksomhed«

| a) | for så vidt angår en dataansvarlig som er etableret i mere end én medlemsstat, stedet for dennes centrale administration i Unionen, medmindre beslutninger vedrørende formål og hjælpemidler i forbindelse med behandling af personoplysninger træffes i en anden af den dataansvarliges etableringer i Unionen, og sidstnævnte etablering har beføjelse til få sådanne beslutninger gennemført; i så fald anses den etablering, der har truffet sådanne beslutninger, for hovedvirksomheden |
| --- | --- |

a)

for så vidt angår en dataansvarlig som er etableret i mere end én medlemsstat, stedet for dennes centrale administration i Unionen, medmindre beslutninger vedrørende formål og hjælpemidler i forbindelse med behandling af personoplysninger træffes i en anden af den dataansvarliges etableringer i Unionen, og sidstnævnte etablering har beføjelse til få sådanne beslutninger gennemført; i så fald anses den etablering, der har truffet sådanne beslutninger, for hovedvirksomheden

| b) | for så vidt angår en databehandler som er etableret i mere end én medlemsstat, stedet for dennes centrale administration i Unionen, eller, hvis denne ikke har en central administration i Unionen, den etablering i Unionen, hvor databehandlerens hovedbehandlingsaktiviteter foretages i databehandlerens egenskab af at være databehandler, i det omfang databehandleren er underlagt specifikke forpligtelser i henhold til denne forordning |
| --- | --- |

b)

for så vidt angår en databehandler som er etableret i mere end én medlemsstat, stedet for dennes centrale administration i Unionen, eller, hvis denne ikke har en central administration i Unionen, den etablering i Unionen, hvor databehandlerens hovedbehandlingsaktiviteter foretages i databehandlerens egenskab af at være databehandler, i det omfang databehandleren er underlagt specifikke forpligtelser i henhold til denne forordning

17)   »repræsentant«: en fysisk eller juridisk person, der er etableret i Unionen, som skriftligt er udpeget af den dataansvarlige eller databehandleren i henhold til artikel 27, og som repræsenterer den dataansvarlige eller databehandleren hvad angår deres respektive forpligtelser i medfør af denne forordning

»repræsentant«

18)   »foretagende«: en fysisk eller juridisk person, som udøver økonomisk aktivitet, uanset dens retlige status, herunder partnerskaber eller sammenslutninger, der regelmæssigt udøver økonomisk aktivitet

»foretagende«

19)   »koncern«: en virksomhed, der udøver kontrol, og de af denne kontrollerede virksomheder

»koncern«

20)   »bindende virksomhedsregler«: regler om beskyttelse af personoplysninger, som en dataansvarlig eller databehandler, der er etableret på en medlemsstats område, overholder i forbindelse med overførsel eller en række overførsler af personoplysninger til en dataansvarlig eller databehandler i et eller flere tredjelande inden for en koncern eller gruppe af foretagender, der udøver en fælles økonomisk aktivitet

»bindende virksomhedsregler«

21)   »tilsynsmyndighed«: en uafhængig offentlig myndighed, der er etableret i en medlemsstat i henhold til artikel 51

»tilsynsmyndighed«

22)   »berørt tilsynsmyndighed«: en tilsynsmyndighed, der er berørt af en behandling af personoplysninger, fordi:

»berørt tilsynsmyndighed«

| a) | den dataansvarlige eller databehandleren er etableret på denne tilsynsmyndigheds medlemsstats område |
| --- | --- |

a)

den dataansvarlige eller databehandleren er etableret på denne tilsynsmyndigheds medlemsstats område

| b) | de registrerede, der har bopæl i denne tilsynsmyndigheds medlemsstat, i væsentlig grad er påvirket af eller sandsynligvis i væsentlig grad vil kunne blive påvirket af behandlingen, eller |
| --- | --- |

b)

de registrerede, der har bopæl i denne tilsynsmyndigheds medlemsstat, i væsentlig grad er påvirket af eller sandsynligvis i væsentlig grad vil kunne blive påvirket af behandlingen, eller

| c) | en klage er blevet indgivet til denne tilsynsmyndighed |
| --- | --- |

c)

en klage er blevet indgivet til denne tilsynsmyndighed

23)   »grænseoverskridende behandling«:

»grænseoverskridende behandling«

| a) | behandling af personoplysninger, der finder sted som led i aktiviteter, som udføres for en dataansvarligs eller en databehandlers virksomheder i mere end én medlemsstat i Unionen, hvor den dataansvarlige eller databehandleren er etableret i mere end én medlemsstat, eller |
| --- | --- |

a)

behandling af personoplysninger, der finder sted som led i aktiviteter, som udføres for en dataansvarligs eller en databehandlers virksomheder i mere end én medlemsstat i Unionen, hvor den dataansvarlige eller databehandleren er etableret i mere end én medlemsstat, eller

| b) | behandling af personoplysninger, der finder sted som led i aktiviteter, som udføres for en dataansvarligs eller en databehandlers eneste etablering i Unionen, men som i væsentlig grad påvirker eller sandsynligvis i væsentlig grad vil kunne påvirke registrerede i mere end én medlemsstat |
| --- | --- |

b)

behandling af personoplysninger, der finder sted som led i aktiviteter, som udføres for en dataansvarligs eller en databehandlers eneste etablering i Unionen, men som i væsentlig grad påvirker eller sandsynligvis i væsentlig grad vil kunne påvirke registrerede i mere end én medlemsstat

24)   »relevant og begrundet indsigelse«: en indsigelse mod et udkast til afgørelse om, hvorvidt der foreligger en overtrædelse af denne forordning, eller hvorvidt en planlagt foranstaltning i forbindelse med den dataansvarlige eller databehandleren overholder denne forordning, og som klart påviser betydningen af de risici, som udkastet til afgørelse udgør for registreredes grundlæggende rettigheder og frihedsrettigheder og, hvis det er relevant, for den frie udveksling af personoplysninger i Unionen

»relevant og begrundet indsigelse«

25)   »informationssamfundstjeneste«: en tjeneste som defineret i artikel 1, stk. 1, litra b), i Europa-Parlamentets og Rådets direktiv (EU) 2015/1535 (19)

»informationssamfundstjeneste«

19

26)   »international organisation«: en folkeretlig organisation og organer, der er underordnet den, samt ethvert andet organ, der er oprettet ved eller med hjemmel i en aftale mellem to eller flere lande.

»international organisation«

KAPITEL II

Principper

Artikel 5

Principper for behandling af personoplysninger

1.   Personoplysninger skal:

| a) | behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede (»lovlighed, rimelighed og gennemsigtighed«) |
| --- | --- |

a)

behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede (»lovlighed, rimelighed og gennemsigtighed«)

| b) | indsamles til udtrykkeligt angivne og legitime formål og må ikke viderebehandles på en måde, der er uforenelig med disse formål; viderebehandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, skal ikke anses for at være uforenelig med de oprindelige formål (»formålsbegrænsning«) |
| --- | --- |

b)

indsamles til udtrykkeligt angivne og legitime formål og må ikke viderebehandles på en måde, der er uforenelig med disse formål; viderebehandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, skal ikke anses for at være uforenelig med de oprindelige formål (»formålsbegrænsning«)

| c) | være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles (»dataminimering«) |
| --- | --- |

c)

være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles (»dataminimering«)

| d) | være korrekte og om nødvendigt ajourførte; der skal tages ethvert rimeligt skridt for at sikre, at personoplysninger, der er urigtige i forhold til de formål, hvortil de behandles, straks slettes eller berigtiges (»rigtighed«) |
| --- | --- |

d)

være korrekte og om nødvendigt ajourførte; der skal tages ethvert rimeligt skridt for at sikre, at personoplysninger, der er urigtige i forhold til de formål, hvortil de behandles, straks slettes eller berigtiges (»rigtighed«)

| e) | opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de pågældende personoplysninger behandles; personoplysninger kan opbevares i længere tidsrum, hvis personoplysningerne alene behandles til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, under forudsætning af, at der implementeres passende tekniske og organisatoriske foranstaltninger, som denne forordning kræver for at sikre den registreredes rettigheder og frihedsrettigheder (»opbevaringsbegrænsning«) |
| --- | --- |

e)

opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de pågældende personoplysninger behandles; personoplysninger kan opbevares i længere tidsrum, hvis personoplysningerne alene behandles til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, under forudsætning af, at der implementeres passende tekniske og organisatoriske foranstaltninger, som denne forordning kræver for at sikre den registreredes rettigheder og frihedsrettigheder (»opbevaringsbegrænsning«)

| f) | behandles på en måde, der sikrer tilstrækkelig sikkerhed for de pågældende personoplysninger, herunder beskyttelse mod uautoriseret eller ulovlig behandling og mod hændeligt tab, tilintetgørelse eller beskadigelse, under anvendelse af passende tekniske eller organisatoriske foranstaltninger (»integritet og fortrolighed«). |
| --- | --- |

f)

behandles på en måde, der sikrer tilstrækkelig sikkerhed for de pågældende personoplysninger, herunder beskyttelse mod uautoriseret eller ulovlig behandling og mod hændeligt tab, tilintetgørelse eller beskadigelse, under anvendelse af passende tekniske eller organisatoriske foranstaltninger (»integritet og fortrolighed«).

2.   Den dataansvarlige er ansvarlig for og skal kunne påvise, at stk. 1 overholdes (»ansvarlighed«).

Artikel 6

Lovlig behandling

1.   Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:

| a) | Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål. |
| --- | --- |

a)

Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål.

| b) | Behandling er nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en kontrakt. |
| --- | --- |

b)

Behandling er nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en kontrakt.

| c) | Behandling er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige. |
| --- | --- |

c)

Behandling er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige.

| d) | Behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser. |
| --- | --- |

d)

Behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser.

| e) | Behandling er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. |
| --- | --- |

e)

Behandling er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.

| f) | Behandling er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn. |
| --- | --- |

f)

Behandling er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn.

Første afsnit, litra f), gælder ikke for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver.

2.   Medlemsstaterne kan opretholde eller indføre mere specifikke bestemmelser for at tilpasse anvendelsen af denne forordnings bestemmelser om behandling med henblik på overholdelse af stk. 1, litra c) og e), ved at fastsætte mere præcist specifikke krav til behandling og andre foranstaltninger for at sikre lovlig og rimelig behandling, herunder for andre specifikke databehandlingssituationer som omhandlet i kapitel IX.

3.   Grundlaget for behandling i henhold til stk. 1, litra c) og e), skal fremgå af:

| a) | EU-retten, eller |
| --- | --- |

a)

EU-retten, eller

| b) | medlemsstaternes nationale ret, som den dataansvarlige er underlagt. |
| --- | --- |

b)

medlemsstaternes nationale ret, som den dataansvarlige er underlagt.

Formålet med behandlingen skal være fastlagt i dette retsgrundlag eller for så vidt angår den behandling, der er omhandlet i stk. 1, litra e), være nødvendig for udførelsen af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Dette retsgrundlag kan indeholde specifikke bestemmelser med henblik på at tilpasse anvendelsen af bestemmelserne i denne forordning, bl.a. de generelle betingelser for lovlighed af den dataansvarliges behandling, hvilke typer oplysninger der skal behandles, berørte registrerede, hvilke enheder personoplysninger må videregives til, og formålet hermed, formålsbegrænsninger, opbevaringsperioder og behandlingsaktiviteter samt behandlingsprocedurer, herunder foranstaltninger til sikring af lovlig og rimelig behandling såsom i andre specifikke databehandlingssituationer som omhandlet i kapitel IX. EU-retten eller medlemsstaternes nationale ret skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, der forfølges.

4.   Når behandling til et andet formål end det, som personoplysningerne er indsamlet til, ikke er baseret på den registreredes samtykke eller EU-retten eller medlemsstaternes nationale ret, som udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund af hensyn til de mål, der er omhandlet i artikel 23, stk. 1, tager den dataansvarlige, for at afgøre, om behandling til et andet formål er forenelig med det formål, som personoplysningerne oprindelig blev indsamlet til, bl.a. hensyn til følgende:

| a) | enhver forbindelse mellem det formål, som personoplysningerne er indsamlet til, og formålet med den påtænkte viderebehandling |
| --- | --- |

a)

enhver forbindelse mellem det formål, som personoplysningerne er indsamlet til, og formålet med den påtænkte viderebehandling

| b) | den sammenhæng, hvori personoplysningerne er blevet indsamlet, navnlig med hensyn til forholdet mellem den registrerede og den dataansvarlige |
| --- | --- |

b)

den sammenhæng, hvori personoplysningerne er blevet indsamlet, navnlig med hensyn til forholdet mellem den registrerede og den dataansvarlige

| c) | personoplysningernes art, navnlig om særlige kategorier af personoplysninger behandles, jf. artikel 9, eller om personoplysninger vedrørende straffedomme og lovovertrædelser behandles, jf. artikel 10 |
| --- | --- |

c)

personoplysningernes art, navnlig om særlige kategorier af personoplysninger behandles, jf. artikel 9, eller om personoplysninger vedrørende straffedomme og lovovertrædelser behandles, jf. artikel 10

| d) | den påtænkte viderebehandlings mulige konsekvenser for de registrerede |
| --- | --- |

d)

den påtænkte viderebehandlings mulige konsekvenser for de registrerede

| e) | tilstedeværelse af fornødne garantier, som kan omfatte kryptering eller pseudonymisering. |
| --- | --- |

e)

tilstedeværelse af fornødne garantier, som kan omfatte kryptering eller pseudonymisering.

Artikel 7

Betingelser for samtykke

1.   Hvis behandling er baseret på samtykke, skal den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger.

2.   Hvis den registreredes samtykke gives i en skriftlig erklæring, der også vedrører andre forhold, skal en anmodning om samtykke forelægges på en måde, som klart kan skelnes fra de andre forhold, i en letforståelig og lettilgængelig form og i et klart og enkelt sprog. Enhver del af en sådan erklæring, som udgør en overtrædelse af denne forordning, er ikke bindende.

3.   Den registrerede har til enhver tid ret til at trække sit samtykke tilbage. Tilbagetrækning af samtykke berører ikke lovligheden af den behandling, der er baseret på samtykke inden tilbagetrækningen. Inden der gives samtykke, skal den registrerede oplyses om, at samtykket kan trækkes tilbage. Det skal være lige så let at trække sit samtykke tilbage som at give det.

4.   Ved vurdering af, om samtykke er givet frit, tages der størst muligt hensyn til, bl.a. om opfyldelse af en kontrakt, herunder om en tjenesteydelse, er gjort betinget af samtykke til behandling af personoplysninger, som ikke er nødvendig for opfyldelse af denne kontrakt.

Artikel 8

Betingelser for et barns samtykke i forbindelse med informationssamfundstjenester

1.   Hvis artikel 6, stk. 1, litra a), finder anvendelse i forbindelse med udbud af informationssamfundstjenester direkte til børn, er behandling af personoplysninger om et barn lovlig, hvis barnet er mindst 16 år. Er barnet under 16 år, er sådan behandling kun lovlig, hvis og i det omfang samtykke gives eller godkendes af indehaveren af forældremyndigheden over barnet.

Medlemsstaterne kan ved lov fastsætte en lavere aldersgrænse til disse formål, forudsat at en sådan aldersgrænse ikke er under 13 år.

2.   Under hensyntagen til den tilgængelige teknologi skal den dataansvarlige gøre sig rimelige bestræbelser på i sådanne tilfælde at kontrollere, at indehaveren af forældremyndigheden over barnet har givet eller godkendt samtykket.

3.   Stk. 1 berører ikke medlemsstaternes generelle aftaleret, som f.eks. bestemmelser om gyldighed, indgåelse eller virkning af en kontrakt, når der er tale om et barn.

Artikel 9

Behandling af særlige kategorier af personoplysninger

1.   Behandling af personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering er forbudt.

2.   Stk. 1 finder ikke anvendelse, hvis et af følgende forhold gør sig gældende:

| a) | Den registrerede har givet udtrykkeligt samtykke til behandling af sådanne personoplysninger til et eller flere specifikke formål, medmindre det i EU-retten eller medlemsstaternes nationale ret er fastsat, at det i stk. 1 omhandlede forbud ikke kan hæves ved den registreredes samtykke. |
| --- | --- |

a)

Den registrerede har givet udtrykkeligt samtykke til behandling af sådanne personoplysninger til et eller flere specifikke formål, medmindre det i EU-retten eller medlemsstaternes nationale ret er fastsat, at det i stk. 1 omhandlede forbud ikke kan hæves ved den registreredes samtykke.

| b) | Behandling er nødvendig for at overholde den dataansvarliges eller den registreredes arbejds-, sundheds- og socialretlige forpligtelser og specifikke rettigheder, for så vidt den har hjemmel i EU-retten eller medlemsstaternes nationale ret eller en kollektiv overenskomst i medfør af medlemsstaternes nationale ret, som giver fornødne garantier for den registreredes grundlæggende rettigheder og interesser. |
| --- | --- |

b)

Behandling er nødvendig for at overholde den dataansvarliges eller den registreredes arbejds-, sundheds- og socialretlige forpligtelser og specifikke rettigheder, for så vidt den har hjemmel i EU-retten eller medlemsstaternes nationale ret eller en kollektiv overenskomst i medfør af medlemsstaternes nationale ret, som giver fornødne garantier for den registreredes grundlæggende rettigheder og interesser.

| c) | Behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser i tilfælde, hvor den registrerede fysisk eller juridisk ikke er i stand til at give samtykke. |
| --- | --- |

c)

Behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser i tilfælde, hvor den registrerede fysisk eller juridisk ikke er i stand til at give samtykke.

| d) | Behandling foretages af en stiftelse, en sammenslutning eller et andet organ, som ikke arbejder med gevinst for øje, og hvis sigte er af politisk, filosofisk, religiøs eller fagforeningsmæssig art, som led i organets legitime aktiviteter og med de fornødne garantier, og på betingelse af at behandlingen alene vedrører organets medlemmer, tidligere medlemmer eller personer, der på grund af organets formål er i regelmæssig kontakt hermed, og at personoplysningerne ikke videregives uden for organet uden den registreredes samtykke. |
| --- | --- |

d)

Behandling foretages af en stiftelse, en sammenslutning eller et andet organ, som ikke arbejder med gevinst for øje, og hvis sigte er af politisk, filosofisk, religiøs eller fagforeningsmæssig art, som led i organets legitime aktiviteter og med de fornødne garantier, og på betingelse af at behandlingen alene vedrører organets medlemmer, tidligere medlemmer eller personer, der på grund af organets formål er i regelmæssig kontakt hermed, og at personoplysningerne ikke videregives uden for organet uden den registreredes samtykke.

| e) | Behandling vedrører personoplysninger, som tydeligvis er offentliggjort af den registrerede. |
| --- | --- |

e)

Behandling vedrører personoplysninger, som tydeligvis er offentliggjort af den registrerede.

| f) | Behandling er nødvendig, for at retskrav kan fastlægges, gøres gældende eller forsvares, eller når domstole handler i deres egenskab af domstol. |
| --- | --- |

f)

Behandling er nødvendig, for at retskrav kan fastlægges, gøres gældende eller forsvares, eller når domstole handler i deres egenskab af domstol.

| g) | Behandling er nødvendig af hensyn til væsentlige samfundsinteresser på grundlag af EU-retten eller medlemsstaternes nationale ret og står i rimeligt forhold til det mål, der forfølges, respekterer det væsentligste indhold af retten til databeskyttelse og sikrer passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser. |
| --- | --- |

g)

Behandling er nødvendig af hensyn til væsentlige samfundsinteresser på grundlag af EU-retten eller medlemsstaternes nationale ret og står i rimeligt forhold til det mål, der forfølges, respekterer det væsentligste indhold af retten til databeskyttelse og sikrer passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser.

| h) | Behandling er nødvendig med henblik på forebyggende medicin eller arbejdsmedicin til vurdering af arbejdstagerens erhvervsevne, medicinsk diagnose, ydelse af social- og sundhedsomsorg eller -behandling eller forvaltning af social- og sundhedsomsorg og -tjenester på grundlag af EU-retten eller medlemsstaternes nationale ret eller i henhold til en kontrakt med en sundhedsperson og underlagt de betingelser og garantier, der er omhandlet i stk. 3. |
| --- | --- |

h)

Behandling er nødvendig med henblik på forebyggende medicin eller arbejdsmedicin til vurdering af arbejdstagerens erhvervsevne, medicinsk diagnose, ydelse af social- og sundhedsomsorg eller -behandling eller forvaltning af social- og sundhedsomsorg og -tjenester på grundlag af EU-retten eller medlemsstaternes nationale ret eller i henhold til en kontrakt med en sundhedsperson og underlagt de betingelser og garantier, der er omhandlet i stk. 3.

| i) | Behandling er nødvendig af hensyn til samfundsinteresser på folkesundhedsområdet, f.eks. beskyttelse mod alvorlige grænseoverskridende sundhedsrisici eller sikring af høje kvalitets- og sikkerhedsstandarder for sundhedspleje og lægemidler eller medicinsk udstyr på grundlag af EU-retten eller medlemsstaternes nationale ret, som fastsætter passende og specifikke foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder, navnlig tavshedspligt. |
| --- | --- |

i)

Behandling er nødvendig af hensyn til samfundsinteresser på folkesundhedsområdet, f.eks. beskyttelse mod alvorlige grænseoverskridende sundhedsrisici eller sikring af høje kvalitets- og sikkerhedsstandarder for sundhedspleje og lægemidler eller medicinsk udstyr på grundlag af EU-retten eller medlemsstaternes nationale ret, som fastsætter passende og specifikke foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder, navnlig tavshedspligt.

| j) | Behandling er nødvendig til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, på grundlag af EU-retten eller medlemsstaternes nationale ret og står i rimeligt forhold til det mål, der forfølges, respekterer det væsentligste indhold af retten til databeskyttelse og sikrer passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser. |
| --- | --- |

j)

Behandling er nødvendig til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, på grundlag af EU-retten eller medlemsstaternes nationale ret og står i rimeligt forhold til det mål, der forfølges, respekterer det væsentligste indhold af retten til databeskyttelse og sikrer passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser.

3.   Personoplysninger som omhandlet i stk. 1 kan behandles til de formål, der er omhandlet i stk. 2, litra h), hvis disse oplysninger behandles af en fagperson, der har tavshedspligt i henhold til EU-retten eller medlemsstaternes nationale ret eller regler, der er fastsat af nationale kompetente organer, eller under en sådan persons ansvar, eller af en anden person, der også har tavshedspligt i henhold til EU-retten eller medlemsstaternes nationale ret eller regler, der er fastsat af nationale kompetente organer.

4.   Medlemsstaterne kan opretholde eller indføre yderligere betingelser, herunder begrænsninger, for behandling af genetiske data, biometriske data eller helbredsoplysninger.

Artikel 10

Behandling af personoplysninger vedrørende straffedomme og lovovertrædelser

Behandling af personoplysninger vedrørende straffedomme og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger på grundlag af artikel 6, stk. 1, må kun foretages under kontrol af en offentlig myndighed, eller hvis behandling har hjemmel i EU-retten eller medlemsstaternes nationale ret, som giver passende garantier for registreredes rettigheder og frihedsrettigheder. Ethvert omfattende register over straffedomme må kun føres under kontrol af en offentlig myndighed.

Artikel 11

Behandling, der ikke kræver identifikation

1.   Hvis formålene med en dataansvarligs behandling af personoplysninger ikke kræver eller ikke længere kræver, at den registrerede kan identificeres af den dataansvarlige, er den dataansvarlige ikke forpligtet til at beholde, indhente eller behandle yderligere oplysninger for at kunne identificere den registrerede alene med det formål at overholde denne forordning.

2.   Hvis den dataansvarlige i tilfælde, der er omhandlet i denne artikels stk. 1, kan påvise, at vedkommende ikke kan identificere den registrerede, underretter den dataansvarlige den registrerede herom, hvis det er muligt. I sådanne tilfælde finder artikel 15-20 ikke anvendelse, medmindre den registrerede for at udøve sine rettigheder i henhold til disse artikler giver yderligere oplysninger, der gør det muligt at identificere den pågældende.

KAPITEL III

Den registreredes rettigheder

Afdeling 1

Gennemsigtighed og nærmere regler

Artikel 12

Gennemsigtig oplysning, meddelelser og nærmere regler for udøvelsen af den registreredes rettigheder

1.   Den dataansvarlige træffer passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 13 og 14 og enhver meddelelse i henhold til artikel 15-22 og 34 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, navnlig når oplysninger specifikt er rettet mod et barn. Oplysningerne gives skriftligt eller med andre midler, herunder, hvis det er hensigtsmæssigt, elektronisk. Når den registrerede anmoder om det, kan oplysningerne gives mundtligt, forudsat at den registreredes identitet godtgøres med andre midler.

2.   Den dataansvarlige letter udøvelsen af den registreredes rettigheder i henhold til artikel 15-22. I de tilfælde, der er omhandlet i artikel 11, stk. 2, må den dataansvarlige ikke afvise at efterkomme den registreredes anmodning om at udøve sine rettigheder i henhold til artikel 15-22, medmindre den dataansvarlige påviser, at vedkommende ikke er i stand til at identificere den registrerede.

3.   Den dataansvarlige oplyser uden unødig forsinkelse og i alle tilfælde senest en måned efter modtagelsen af anmodningen den registrerede om foranstaltninger, der træffes på baggrund af en anmodning i henhold til artikel 15-22. Denne periode kan forlænges med to måneder, hvis det er nødvendigt, under hensyntagen til anmodningernes kompleksitet og antal. Den dataansvarlige underretter den registrerede om enhver sådan forlængelse senest en måned efter modtagelsen af anmodningen sammen med begrundelsen for forsinkelsen. Hvis den registrerede indgiver en anmodning elektronisk, meddeles oplysningerne så vidt muligt elektronisk, medmindre den registrerede anmoder om andet.

4.   Hvis den dataansvarlige ikke træffer foranstaltninger i anledning af den registreredes anmodning, underretter den dataansvarlige straks og senest en måned efter modtagelsen af anmodningen den registrerede om årsagen hertil og om muligheden for at indgive en klage til en tilsynsmyndighed og indbringe sagen for en retsinstans.

5.   Oplysninger, der gives i henhold til artikel 13 og 14, og enhver meddelelse og enhver foranstaltning, der træffes i henhold til artikel 15-22 og 34, er gratis. Hvis anmodninger fra en registreret er åbenbart grundløse eller overdrevne, især fordi de gentages, kan den dataansvarlige enten:

| a) | opkræve et rimeligt gebyr under hensyntagen til de administrative omkostninger ved at give oplysninger eller meddelelser eller træffe den ønskede foranstaltning, eller |
| --- | --- |

a)

opkræve et rimeligt gebyr under hensyntagen til de administrative omkostninger ved at give oplysninger eller meddelelser eller træffe den ønskede foranstaltning, eller

| b) | afvise at efterkomme anmodningen. |
| --- | --- |

b)

afvise at efterkomme anmodningen.

Bevisbyrden for, at anmodningen er åbenbart grundløs eller overdreven, påhviler den dataansvarlige.

6.   Uden at det berører artikel 11 kan den dataansvarlige, hvis der hersker rimelig tvivl om identiteten af den fysiske person, der fremsætter en anmodning som omhandlet i artikel 15-21, anmode om yderligere oplysninger, der er nødvendige for at bekræfte den registreredes identitet.

7.   De oplysninger, der skal gives til registrerede i henhold til artikel 13 og 14, kan gives sammen med standardiserede ikoner for at give et meningsfuldt overblik over den planlagte behandling på en klart synlig, letforståelig og letlæselig måde. Hvis ikonerne præsenteres elektronisk, skal de være maskinlæsbare.

8.   Kommissionen tillægges beføjelse til at vedtage delegerede retsakter i overensstemmelse med artikel 92 med henblik på at fastlægge de oplysninger, der skal fremgå af ikoner, og procedurerne for tilvejebringelse af standardiserede ikoner.

Afdeling 2

Oplysning og indsigt i personoplysninger

Artikel 13

Oplysningspligt ved indsamling af personoplysninger hos den registrerede

1.   Hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede alle følgende oplysninger:

| a) | identitet på og kontaktoplysninger for den dataansvarlige og dennes eventuelle repræsentant |
| --- | --- |

a)

identitet på og kontaktoplysninger for den dataansvarlige og dennes eventuelle repræsentant

| b) | kontaktoplysninger for en eventuel databeskyttelsesrådgiver |
| --- | --- |

b)

kontaktoplysninger for en eventuel databeskyttelsesrådgiver

| c) | formålene med den behandling, som personoplysningerne skal bruges til, og retsgrundlaget for behandlingen |
| --- | --- |

c)

formålene med den behandling, som personoplysningerne skal bruges til, og retsgrundlaget for behandlingen

| d) | de legitime interesser, som forfølges af den dataansvarlige eller en tredjemand, hvis behandlingen er baseret på artikel 6, stk. 1, litra f) |
| --- | --- |

d)

de legitime interesser, som forfølges af den dataansvarlige eller en tredjemand, hvis behandlingen er baseret på artikel 6, stk. 1, litra f)

| e) | eventuelle modtagere eller kategorier af modtagere af personoplysningerne |
| --- | --- |

e)

eventuelle modtagere eller kategorier af modtagere af personoplysningerne

| f) | hvor det er relevant, at den dataansvarlige agter at overføre personoplysninger til et tredjeland eller en international organisation, og om hvorvidt Kommissionen har truffet afgørelse om tilstrækkeligheden af beskyttelsesniveauet, eller i tilfælde af overførsler i henhold til artikel 46 eller 47 eller artikel 49, stk. 1, andet afsnit, litra h), henvisning til de fornødne eller passende garantier, og hvordan der kan fås en kopi heraf, eller hvor de er blevet gjort tilgængelige. |
| --- | --- |

f)

hvor det er relevant, at den dataansvarlige agter at overføre personoplysninger til et tredjeland eller en international organisation, og om hvorvidt Kommissionen har truffet afgørelse om tilstrækkeligheden af beskyttelsesniveauet, eller i tilfælde af overførsler i henhold til artikel 46 eller 47 eller artikel 49, stk. 1, andet afsnit, litra h), henvisning til de fornødne eller passende garantier, og hvordan der kan fås en kopi heraf, eller hvor de er blevet gjort tilgængelige.

2.   Ud over de oplysninger, der er omhandlet i stk. 1, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede følgende yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling:

| a) | det tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum |
| --- | --- |

a)

det tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum

| b) | retten til at anmode den dataansvarlige om indsigt i og berigtigelse eller sletning af personoplysninger eller begrænsning af behandling vedrørende den registrerede eller til at gøre indsigelse mod behandling samt retten til dataportabilitet |
| --- | --- |

b)

retten til at anmode den dataansvarlige om indsigt i og berigtigelse eller sletning af personoplysninger eller begrænsning af behandling vedrørende den registrerede eller til at gøre indsigelse mod behandling samt retten til dataportabilitet

| c) | når behandling er baseret på artikel 6, stk. 1, litra a), eller artikel 9, stk. 2, litra a), retten til at trække samtykke tilbage på ethvert tidspunkt, uden at dette berører lovligheden af behandling, der er baseret på samtykke, inden tilbagetrækning heraf |
| --- | --- |

c)

når behandling er baseret på artikel 6, stk. 1, litra a), eller artikel 9, stk. 2, litra a), retten til at trække samtykke tilbage på ethvert tidspunkt, uden at dette berører lovligheden af behandling, der er baseret på samtykke, inden tilbagetrækning heraf

| d) | retten til at indgive en klage til en tilsynsmyndighed |
| --- | --- |

d)

retten til at indgive en klage til en tilsynsmyndighed

| e) | om meddelelse af personoplysninger er lovpligtigt eller et krav i henhold til en kontrakt eller et krav, der skal være opfyldt for at indgå en kontrakt, samt om den registrerede har pligt til at give personoplysningerne og de eventuelle konsekvenser af ikke at give sådanne oplysninger |
| --- | --- |

e)

om meddelelse af personoplysninger er lovpligtigt eller et krav i henhold til en kontrakt eller et krav, der skal være opfyldt for at indgå en kontrakt, samt om den registrerede har pligt til at give personoplysningerne og de eventuelle konsekvenser af ikke at give sådanne oplysninger

| f) | forekomsten af automatiske afgørelser, herunder profilering, som omhandlet i artikel 22, stk. 1 og 4, og i disse tilfælde som minimum meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede. |
| --- | --- |

f)

forekomsten af automatiske afgørelser, herunder profilering, som omhandlet i artikel 22, stk. 1 og 4, og i disse tilfælde som minimum meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede.

3.   Hvis den dataansvarlige agter at viderebehandle personoplysningerne til et andet formål end det, hvortil de er indsamlet, giver den dataansvarlige forud for denne viderebehandling den registrerede oplysninger om dette andet formål og andre relevante yderligere oplysninger, jf. stk. 2.

4.   Stk. 1, 2 og 3 finder ikke anvendelse, hvis og i det omfang den registrerede allerede er bekendt med oplysningerne.

Artikel 14

Oplysningspligt, hvis personoplysninger ikke er indsamlet hos den registrerede

1.   Hvis personoplysningerne ikke er indsamlet hos den registrerede, giver den dataansvarlige den registrerede følgende oplysninger:

| a) | identitet på og kontaktoplysninger for den dataansvarlige og dennes eventuelle repræsentant |
| --- | --- |

a)

identitet på og kontaktoplysninger for den dataansvarlige og dennes eventuelle repræsentant

| b) | kontaktoplysninger for en eventuel databeskyttelsesrådgiver |
| --- | --- |

b)

kontaktoplysninger for en eventuel databeskyttelsesrådgiver

| c) | formålene med den behandling, som personoplysningerne skal bruges til, samt retsgrundlaget for behandlingen |
| --- | --- |

c)

formålene med den behandling, som personoplysningerne skal bruges til, samt retsgrundlaget for behandlingen

| d) | de berørte kategorier af personoplysninger |
| --- | --- |

d)

de berørte kategorier af personoplysninger

| e) | eventuelle modtagere eller kategorier af modtagere af personoplysningerne |
| --- | --- |

e)

eventuelle modtagere eller kategorier af modtagere af personoplysningerne

| f) | hvor det er relevant, at den dataansvarlige agter at overføre personoplysninger til en modtager i et tredjeland eller en international organisation, og om hvorvidt Kommissionen har truffet afgørelse om tilstrækkeligheden af beskyttelsesniveauet, eller i tilfælde af overførsler i henhold til artikel 46 eller 47 eller artikel 49, stk. 1, andet afsnit, litra h), henvisning til de fornødne eller passende garantier, og hvordan der kan fås en kopi heraf, eller hvor de er blevet gjort tilgængelige. |
| --- | --- |

f)

hvor det er relevant, at den dataansvarlige agter at overføre personoplysninger til en modtager i et tredjeland eller en international organisation, og om hvorvidt Kommissionen har truffet afgørelse om tilstrækkeligheden af beskyttelsesniveauet, eller i tilfælde af overførsler i henhold til artikel 46 eller 47 eller artikel 49, stk. 1, andet afsnit, litra h), henvisning til de fornødne eller passende garantier, og hvordan der kan fås en kopi heraf, eller hvor de er blevet gjort tilgængelige.

2.   Ud over de oplysninger, der er omhandlet i stk. 1, giver den dataansvarlige den registrerede følgende oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling for så vidt angår den registrerede:

| a) | det tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum |
| --- | --- |

a)

det tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum

| b) | de legitime interesser, som forfølges af den dataansvarlige eller en tredjemand, hvis behandlingen er baseret på artikel 6, stk. 1, litra f) |
| --- | --- |

b)

de legitime interesser, som forfølges af den dataansvarlige eller en tredjemand, hvis behandlingen er baseret på artikel 6, stk. 1, litra f)

| c) | retten til at anmode den dataansvarlige om indsigt i og berigtigelse eller sletning af personoplysninger eller begrænsning af behandling vedrørende den registrerede og til at gøre indsigelse mod behandling samt retten til dataportabilitet |
| --- | --- |

c)

retten til at anmode den dataansvarlige om indsigt i og berigtigelse eller sletning af personoplysninger eller begrænsning af behandling vedrørende den registrerede og til at gøre indsigelse mod behandling samt retten til dataportabilitet

| d) | når behandling er baseret på artikel 6, stk. 1, litra a), eller artikel 9, stk. 2, litra a), retten til at trække samtykke tilbage på ethvert tidspunkt, uden at dette berører lovligheden af behandling, der er baseret på samtykke, inden tilbagetrækning heraf |
| --- | --- |

d)

når behandling er baseret på artikel 6, stk. 1, litra a), eller artikel 9, stk. 2, litra a), retten til at trække samtykke tilbage på ethvert tidspunkt, uden at dette berører lovligheden af behandling, der er baseret på samtykke, inden tilbagetrækning heraf

| e) | retten til at indgive en klage til en tilsynsmyndighed |
| --- | --- |

e)

retten til at indgive en klage til en tilsynsmyndighed

| f) | hvilken kilde personoplysningerne hidrører fra, og eventuelt hvorvidt de stammer fra offentligt tilgængelige kilder |
| --- | --- |

f)

hvilken kilde personoplysningerne hidrører fra, og eventuelt hvorvidt de stammer fra offentligt tilgængelige kilder

| g) | forekomsten af automatiske afgørelser, herunder profilering, som omhandlet i artikel 22, stk. 1 og 4, og i disse tilfælde som minimum meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede. |
| --- | --- |

g)

forekomsten af automatiske afgørelser, herunder profilering, som omhandlet i artikel 22, stk. 1 og 4, og i disse tilfælde som minimum meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede.

3.   Den dataansvarlige giver de oplysninger, der er omhandlet i stk. 1 og 2:

| a) | inden for en rimelig frist efter indsamlingen af personoplysningerne, men senest inden for en måned under hensyn til de specifikke forhold, som personoplysningerne er behandlet under, |
| --- | --- |

a)

inden for en rimelig frist efter indsamlingen af personoplysningerne, men senest inden for en måned under hensyn til de specifikke forhold, som personoplysningerne er behandlet under,

| b) | hvis personoplysningerne skal bruges til at kommunikere med den registrerede, senest på tidspunktet for den første kommunikation med den registrerede, eller |
| --- | --- |

b)

hvis personoplysningerne skal bruges til at kommunikere med den registrerede, senest på tidspunktet for den første kommunikation med den registrerede, eller

| c) | hvis personoplysningerne er bestemt til videregivelse til en anden modtager, senest når personoplysningerne videregives første gang. |
| --- | --- |

c)

hvis personoplysningerne er bestemt til videregivelse til en anden modtager, senest når personoplysningerne videregives første gang.

4.   Hvis den dataansvarlige agter at viderebehandle personoplysningerne til et andet formål end det, hvortil de er indsamlet, giver den dataansvarlige forud for denne viderebehandling den registrerede oplysninger om dette andet formål samt andre relevante yderligere oplysninger, jf. stk. 2.

5.   Stk. 1-4 finder ikke anvendelse, hvis og i det omfang:

| a) | den registrerede allerede er bekendt med oplysningerne |
| --- | --- |

a)

den registrerede allerede er bekendt med oplysningerne

| b) | meddelelse af sådanne oplysninger viser sig umulig eller vil kræve en uforholdsmæssigt stor indsats, navnlig i forbindelse med behandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål underlagt de betingelser og garantier, der er omhandlet i artikel 89, stk. 1, eller i det omfang den forpligtelse, der er omhandlet i nærværende artikels stk. 1, sandsynligvis vil gøre det umuligt eller i alvorlig grad vil hindre opfyldelse af formålene med denne behandling. I sådanne tilfælde træffer den dataansvarlige passende foranstaltninger for at beskytte den registreredes rettigheder og frihedsrettigheder samt legitime interesser, herunder ved at gøre oplysningerne offentligt tilgængelige |
| --- | --- |

b)

meddelelse af sådanne oplysninger viser sig umulig eller vil kræve en uforholdsmæssigt stor indsats, navnlig i forbindelse med behandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål underlagt de betingelser og garantier, der er omhandlet i artikel 89, stk. 1, eller i det omfang den forpligtelse, der er omhandlet i nærværende artikels stk. 1, sandsynligvis vil gøre det umuligt eller i alvorlig grad vil hindre opfyldelse af formålene med denne behandling. I sådanne tilfælde træffer den dataansvarlige passende foranstaltninger for at beskytte den registreredes rettigheder og frihedsrettigheder samt legitime interesser, herunder ved at gøre oplysningerne offentligt tilgængelige

| c) | indsamling eller videregivelse udtrykkelig er fastsat i EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt, og som fastsætter passende foranstaltninger til beskyttelse af den registreredes legitime interesser, eller |
| --- | --- |

c)

indsamling eller videregivelse udtrykkelig er fastsat i EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt, og som fastsætter passende foranstaltninger til beskyttelse af den registreredes legitime interesser, eller

| d) | personoplysningerne skal forblive fortrolige som følge af tavshedspligt i henhold til EU-retten eller medlemsstaternes nationale ret, herunder lovbestemt tavshedspligt. |
| --- | --- |

d)

personoplysningerne skal forblive fortrolige som følge af tavshedspligt i henhold til EU-retten eller medlemsstaternes nationale ret, herunder lovbestemt tavshedspligt.

Artikel 15

Den registreredes indsigtsret

1.   Den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og følgende information:

| a) | formålene med behandlingen |
| --- | --- |

a)

formålene med behandlingen

| b) | de berørte kategorier af personoplysninger |
| --- | --- |

b)

de berørte kategorier af personoplysninger

| c) | de modtagere eller kategorier af modtagere, som personoplysningerne er eller vil blive videregivet til, navnlig modtagere i tredjelande eller internationale organisationer |
| --- | --- |

c)

de modtagere eller kategorier af modtagere, som personoplysningerne er eller vil blive videregivet til, navnlig modtagere i tredjelande eller internationale organisationer

| d) | om muligt det påtænkte tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til fastlæggelse af dette tidsrum |
| --- | --- |

d)

om muligt det påtænkte tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til fastlæggelse af dette tidsrum

| e) | retten til at anmode den dataansvarlige om berigtigelse eller sletning af personoplysninger eller begrænsning af behandling af personoplysninger vedrørende den registrerede eller til at gøre indsigelse mod en sådan behandling |
| --- | --- |

e)

retten til at anmode den dataansvarlige om berigtigelse eller sletning af personoplysninger eller begrænsning af behandling af personoplysninger vedrørende den registrerede eller til at gøre indsigelse mod en sådan behandling

| f) | retten til at indgive en klage til en tilsynsmyndighed |
| --- | --- |

f)

retten til at indgive en klage til en tilsynsmyndighed

| g) | enhver tilgængelig information om, hvorfra personoplysningerne stammer, hvis de ikke indsamles hos den registrerede |
| --- | --- |

g)

enhver tilgængelig information om, hvorfra personoplysningerne stammer, hvis de ikke indsamles hos den registrerede

| h) | forekomsten af automatiske afgørelser, herunder profilering, som omhandlet i artikel 22, stk. 1 og 4, og som minimum meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede. |
| --- | --- |

h)

forekomsten af automatiske afgørelser, herunder profilering, som omhandlet i artikel 22, stk. 1 og 4, og som minimum meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede.

2.   Hvis personoplysningerne overføres til et tredjeland eller en international organisation, har den registrerede ret til at blive underrettet om de fornødne garantier i medfør af artikel 46 i forbindelse med overførslen.

3.   Den dataansvarlige udleverer en kopi af de personoplysninger, der behandles. For yderligere kopier, som den registrerede anmoder om, kan den dataansvarlige opkræve et rimeligt gebyr baseret på de administrative omkostninger. Hvis den registrerede indgiver anmodningen elektronisk, og medmindre den registrerede anmoder om andet, udleveres oplysningerne i en almindeligt anvendt elektronisk form.

4.   Retten til at modtage en kopi som omhandlet i stk. 3 må ikke krænke andres rettigheder og frihedsrettigheder.

Afdeling 3

Berigtigelse og sletning

Artikel 16

Ret til berigtigelse

Den registrerede har ret til at få urigtige personoplysninger om sig selv berigtiget af den dataansvarlige uden unødig forsinkelse. Den registrerede har under hensyntagen til formålene med behandlingen ret til få fuldstændiggjort ufuldstændige personoplysninger, bl.a. ved at fremlægge en supplerende erklæring.

Artikel 17

Ret til sletning (»retten til at blive glemt«)

1.   Den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis et af følgende forhold gør sig gældende:

| a) | Personoplysningerne er ikke længere nødvendige til at opfylde de formål, hvortil de blev indsamlet eller på anden vis behandlet. |
| --- | --- |

a)

Personoplysningerne er ikke længere nødvendige til at opfylde de formål, hvortil de blev indsamlet eller på anden vis behandlet.

| b) | Den registrerede trækker det samtykke, der er grundlaget for behandlingen, jf. artikel 6, stk. 1, litra a), eller artikel 9, stk. 2, litra a), tilbage, og der er ikke et andet retsgrundlag for behandlingen. |
| --- | --- |

b)

Den registrerede trækker det samtykke, der er grundlaget for behandlingen, jf. artikel 6, stk. 1, litra a), eller artikel 9, stk. 2, litra a), tilbage, og der er ikke et andet retsgrundlag for behandlingen.

| c) | Den registrerede gør indsigelse mod behandlingen i henhold til artikel 21, stk. 1, og der foreligger ikke legitime grunde til behandlingen, som går forud for indsigelsen, eller den registrerede gør indsigelse mod behandlingen i medfør af artikel 21, stk. 2. |
| --- | --- |

c)

Den registrerede gør indsigelse mod behandlingen i henhold til artikel 21, stk. 1, og der foreligger ikke legitime grunde til behandlingen, som går forud for indsigelsen, eller den registrerede gør indsigelse mod behandlingen i medfør af artikel 21, stk. 2.

| d) | Personoplysningerne er blevet behandlet ulovligt. |
| --- | --- |

d)

Personoplysningerne er blevet behandlet ulovligt.

| e) | Personoplysningerne skal slettes for at overholde en retlig forpligtelse i EU-retten eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt. |
| --- | --- |

e)

Personoplysningerne skal slettes for at overholde en retlig forpligtelse i EU-retten eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt.

| f) | Personoplysningerne er blevet indsamlet i forbindelse med udbud af informationssamfundstjenester som omhandlet i artikel 8, stk. 1. |
| --- | --- |

f)

Personoplysningerne er blevet indsamlet i forbindelse med udbud af informationssamfundstjenester som omhandlet i artikel 8, stk. 1.

2.   Hvis den dataansvarlige har offentliggjort personoplysningerne og i henhold til stk. 1 er forpligtet til at slette personoplysningerne, træffer den dataansvarlige under hensyntagen til den teknologi, der er tilgængelig, og omkostningerne ved implementeringen, rimelige foranstaltninger, herunder tekniske foranstaltninger, for at underrette de dataansvarlige, som behandler personoplysningerne, om, at den registrerede har anmodet disse dataansvarlige om at slette alle link til eller kopier eller gengivelser af de pågældende personoplysninger.

3.   Stk. 1 og 2 finder ikke anvendelse, i det omfang denne behandling er nødvendig:

| a) | for at udøve retten til ytrings- og informationsfrihed |
| --- | --- |

a)

for at udøve retten til ytrings- og informationsfrihed

| b) | for at overholde en retlig forpligtelse, der kræver behandling i henhold til EU-retten eller medlemsstaternes nationale ret, og som den dataansvarlige er underlagt, eller for at udføre en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt |
| --- | --- |

b)

for at overholde en retlig forpligtelse, der kræver behandling i henhold til EU-retten eller medlemsstaternes nationale ret, og som den dataansvarlige er underlagt, eller for at udføre en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt

| c) | af hensyn til samfundsinteresser på folkesundhedsområdet i overensstemmelse med artikel 9, stk. 2, litra h) og i), samt artikel 9, stk. 3 |
| --- | --- |

c)

af hensyn til samfundsinteresser på folkesundhedsområdet i overensstemmelse med artikel 9, stk. 2, litra h) og i), samt artikel 9, stk. 3

| d) | til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, i det omfang den rettighed, der er omhandlet i stk. 1, sandsynligvis vil gøre det umuligt eller i alvorlig grad hindre opfyldelse af denne behandling, eller |
| --- | --- |

d)

til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, i det omfang den rettighed, der er omhandlet i stk. 1, sandsynligvis vil gøre det umuligt eller i alvorlig grad hindre opfyldelse af denne behandling, eller

| e) | for, at retskrav kan fastlægges, gøres gældende eller forsvares. |
| --- | --- |

e)

for, at retskrav kan fastlægges, gøres gældende eller forsvares.

Artikel 18

Ret til begrænsning af behandling

1.   Den registrerede har ret til fra den dataansvarlige at opnå begrænsning af behandling, hvis et af følgende forhold gør sig gældende:

| a) | rigtigheden af personoplysningerne bestrides af den registrerede, i perioden indtil den dataansvarlige har haft mulighed for at fastslå, om personoplysningerne er korrekte |
| --- | --- |

a)

rigtigheden af personoplysningerne bestrides af den registrerede, i perioden indtil den dataansvarlige har haft mulighed for at fastslå, om personoplysningerne er korrekte

| b) | behandlingen er ulovlig, og den registrerede modsætter sig sletning af personoplysningerne og i stedet anmoder om, at anvendelse heraf begrænses |
| --- | --- |

b)

behandlingen er ulovlig, og den registrerede modsætter sig sletning af personoplysningerne og i stedet anmoder om, at anvendelse heraf begrænses

| c) | den dataansvarlige ikke længere har brug for personoplysningerne til behandlingen, men de er nødvendige for, at et retskrav kan fastlægges, gøres gældende eller forsvares |
| --- | --- |

c)

den dataansvarlige ikke længere har brug for personoplysningerne til behandlingen, men de er nødvendige for, at et retskrav kan fastlægges, gøres gældende eller forsvares

| d) | den registrerede har gjort indsigelse mod behandlingen i medfør af artikel 21, stk. 1, i perioden mens det kontrolleres, om den dataansvarliges legitime interesser går forud for den registreredes legitime interesser. |
| --- | --- |

d)

den registrerede har gjort indsigelse mod behandlingen i medfør af artikel 21, stk. 1, i perioden mens det kontrolleres, om den dataansvarliges legitime interesser går forud for den registreredes legitime interesser.

2.   Hvis behandling er blevet begrænset i medfør af stk. 1, må sådanne personoplysninger, bortset fra opbevaring, kun behandles med den registreredes samtykke eller med henblik på, at et retskrav kan fastlægges, gøres gældende eller forsvares eller for at beskytte en anden fysisk eller juridisk person eller af hensyn til Unionens eller en medlemsstats vigtige samfundsinteresser.

3.   En registreret, der har opnået begrænsning af behandling i medfør af stk. 1, underrettes af den dataansvarlige, inden begrænsningen af behandlingen ophæves.

Artikel 19

Underretningspligt i forbindelse med berigtigelse eller sletning af personoplysninger eller begrænsning af behandling

Den dataansvarlige underretter hver modtager, som personoplysningerne er videregivet til, om enhver berigtigelse eller sletning af personoplysningerne eller begrænsning af behandling, der er udført i henhold til artikel 16, artikel 17, stk. 1, og artikel 18, medmindre dette viser sig umuligt eller er uforholdsmæssigt vanskeligt. Den dataansvarlige oplyser den registrerede om disse modtagere, hvis den registrerede anmoder herom.

Artikel 20

Ret til dataportabilitet

1.   Den registrerede har ret til i et struktureret, almindeligt anvendt og maskinlæsbart format at modtage personoplysninger om sig selv, som vedkommende har givet til en dataansvarlig, og har ret til at transmittere disse oplysninger til en anden dataansvarlig uden hindring fra den dataansvarlige, som personoplysningerne er blevet givet til, når:

| a) | behandlingen er baseret på samtykke, jf. artikel 6, stk. 1, litra a), eller artikel 9, stk. 2, litra a), eller på en kontrakt, jf. artikel 6, stk. 1, litra b), og |
| --- | --- |

a)

behandlingen er baseret på samtykke, jf. artikel 6, stk. 1, litra a), eller artikel 9, stk. 2, litra a), eller på en kontrakt, jf. artikel 6, stk. 1, litra b), og

| b) | behandlingen foretages automatisk. |
| --- | --- |

b)

behandlingen foretages automatisk.

2.   Når den registrerede udøver sin ret til dataportabilitet i henhold til stk. 1, har den registrerede ret til at få transmitteret personoplysningerne direkte fra en dataansvarlig til en anden, hvis det er teknisk muligt.

3.   Udøvelsen af den ret, der er omhandlet i denne artikels stk. 1, berører ikke artikel 17. Den nævnte ret finder ikke anvendelse på behandling, der er nødvendig for udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.

4.   Den ret, der er omhandlet i stk. 1, må ikke krænke andres rettigheder eller frihedsrettigheder.

Afdeling 4

Ret til indsigelse og automatiske individuelle afgørelser

Artikel 21

Ret til indsigelse

1.   Den registrerede har til enhver tid ret til af grunde, der vedrører den pågældendes særlige situation, at gøre indsigelse mod behandling af sine personoplysninger baseret på artikel 6, stk. 1, litra e) eller f), herunder profilering baseret på disse bestemmelser. Den dataansvarlige må ikke længere behandle personoplysningerne, medmindre den dataansvarlige påviser vægtige legitime grunde til behandlingen, der går forud for registreredes interesser, rettigheder og frihedsrettigheder, eller behandlingen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares.

2.   Hvis personoplysninger behandles med henblik på direkte markedsføring, har den registrerede til enhver tid ret til at gøre indsigelse mod behandling af sine personoplysninger til sådan markedsføring, herunder at gøre indsigelse mod profilering, i det omfang den vedrører direkte markedsføring.

3.   Hvis den registrerede gør indsigelse mod behandling med henblik på direkte markedsføring, må personoplysningerne ikke længere behandles til dette formål.

4.   Senest på tidspunktet for den første kommunikation med den registrerede skal denne udtrykkeligt gøres opmærksom på den ret, der er omhandlet i stk. 1 og 2, og oplysninger herom skal meddeles klart og adskilt fra alle andre oplysninger.

5.   I forbindelse med anvendelse af informationssamfundstjenester og uanset direktiv 2002/58/EF kan den registrerede udøve sin ret til indsigelse gennem automatiske midler ved brug af tekniske specifikationer.

6.   Hvis personoplysninger behandles med henblik på videnskabelige eller historiske forskningsformål eller statistiske formål i henhold til artikel 89, stk. 1, har den registrerede ret til af grunde, der vedrører den pågældendes særlige situation, at gøre indsigelse mod behandling af personoplysninger vedrørende den pågældende, medmindre behandlingen er nødvendig for at udføre en opgave i samfundets interesse.

Artikel 22

Automatiske individuelle afgørelser, herunder profilering

1.   Den registrerede har ret til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, herunder profilering, som har retsvirkning eller på tilsvarende vis betydeligt påvirker den pågældende.

2.   Stk. 1 finder ikke anvendelse, hvis afgørelsen:

| a) | er nødvendig for indgåelse eller opfyldelse af en kontrakt mellem den registrerede og en dataansvarlig |
| --- | --- |

a)

er nødvendig for indgåelse eller opfyldelse af en kontrakt mellem den registrerede og en dataansvarlig

| b) | er hjemlet i EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt, og som også fastsætter passende foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder samt legitime interesser eller |
| --- | --- |

b)

er hjemlet i EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt, og som også fastsætter passende foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder samt legitime interesser eller

| c) | er baseret på den registreredes udtrykkelige samtykke. |
| --- | --- |

c)

er baseret på den registreredes udtrykkelige samtykke.

3.   I de tilfælde, der er omhandlet i stk. 2, litra a) og c), gennemfører den dataansvarlige passende foranstaltninger til at beskytte den registreredes rettigheder og frihedsrettigheder samt legitime interesser, i det mindste den registreredes ret til menneskelig indgriben fra den dataansvarliges side, til at fremkomme med sine synspunkter og til at bestride afgørelsen.

4.   De afgørelser, der er omhandlet i stk. 2, må ikke baseres på særlige kategorier af personoplysninger, jf. artikel 9, stk. 1, medmindre artikel 9, stk. 2, litra a) eller g), finder anvendelse, og der er indført passende foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder samt legitime interesser.

Afdeling 5

Begrænsninger

Artikel 23

Begrænsninger

1.   EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige eller databehandleren er underlagt, kan ved lovgivningsmæssige foranstaltninger begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i artikel 12-22 og 34 samt artikel 5, for så vidt bestemmelserne heri svarer til rettighederne og forpligtelserne i artikel 12-22, når en sådan begrænsning respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund af hensyn til:

| a) | statens sikkerhed |
| --- | --- |

a)

statens sikkerhed

| b) | forsvaret |
| --- | --- |

b)

forsvaret

| c) | den offentlige sikkerhed |
| --- | --- |

c)

den offentlige sikkerhed

| d) | forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed |
| --- | --- |

d)

forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed

| e) | andre vigtige målsætninger i forbindelse med beskyttelse af Unionens eller en medlemsstats generelle samfundsinteresser, navnlig Unionens eller en medlemsstats væsentlige økonomiske eller finansielle interesser, herunder valuta-, budget- og skatteanliggender, folkesundhed og social sikkerhed |
| --- | --- |

e)

andre vigtige målsætninger i forbindelse med beskyttelse af Unionens eller en medlemsstats generelle samfundsinteresser, navnlig Unionens eller en medlemsstats væsentlige økonomiske eller finansielle interesser, herunder valuta-, budget- og skatteanliggender, folkesundhed og social sikkerhed

| f) | beskyttelse af retsvæsenets uafhængighed og retssager |
| --- | --- |

f)

beskyttelse af retsvæsenets uafhængighed og retssager

| g) | forebyggelse, efterforskning, afsløring og retsforfølgning i forbindelse med brud på etiske regler for lovregulerede erhverv |
| --- | --- |

g)

forebyggelse, efterforskning, afsløring og retsforfølgning i forbindelse med brud på etiske regler for lovregulerede erhverv

| h) | kontrol-, tilsyns- eller reguleringsfunktioner, herunder opgaver af midlertidig karakter, der er forbundet med offentlig myndighedsudøvelse i de tilfælde, der er omhandlet i litra a)-e) og g) |
| --- | --- |

h)

kontrol-, tilsyns- eller reguleringsfunktioner, herunder opgaver af midlertidig karakter, der er forbundet med offentlig myndighedsudøvelse i de tilfælde, der er omhandlet i litra a)-e) og g)

| i) | beskyttelse af den registrerede eller andres rettigheder og frihedsrettigheder |
| --- | --- |

i)

beskyttelse af den registrerede eller andres rettigheder og frihedsrettigheder

| j) | håndhævelse af civilretlige krav. |
| --- | --- |

j)

håndhævelse af civilretlige krav.

2.   Navnlig skal enhver lovgivningsmæssig foranstaltning, der er omhandlet i stk. 1, som minimum, hvor det er relevant, indeholde specifikke bestemmelser vedrørende:

| a) | formålene med behandlingen eller kategorierne af behandling |
| --- | --- |

a)

formålene med behandlingen eller kategorierne af behandling

| b) | kategorierne af personoplysninger |
| --- | --- |

b)

kategorierne af personoplysninger

| c) | rækkevidden af de indførte begrænsninger |
| --- | --- |

c)

rækkevidden af de indførte begrænsninger

| d) | garantierne for at undgå misbrug eller ulovlig adgang eller overførsel |
| --- | --- |

d)

garantierne for at undgå misbrug eller ulovlig adgang eller overførsel

| e) | specifikation af den dataansvarlige eller kategorierne af dataansvarlige |
| --- | --- |

e)

specifikation af den dataansvarlige eller kategorierne af dataansvarlige

| f) | opbevaringsperioder og de gældende garantier under hensyntagen til behandlingens karakter, omfang og formål eller kategorier af behandling |
| --- | --- |

f)

opbevaringsperioder og de gældende garantier under hensyntagen til behandlingens karakter, omfang og formål eller kategorier af behandling

| g) | risiciene for de registreredes rettigheder og frihedsrettigheder, og |
| --- | --- |

g)

risiciene for de registreredes rettigheder og frihedsrettigheder, og

| h) | de registreredes ret til at blive underrettet om begrænsningen, medmindre dette kan skade formålet med begrænsningen. |
| --- | --- |

h)

de registreredes ret til at blive underrettet om begrænsningen, medmindre dette kan skade formålet med begrænsningen.

KAPITEL IV

Dataansvarlig og databehandler

Afdeling 1

Generelle forpligtelser

Artikel 24

Den dataansvarliges ansvar

1.   Under hensyntagen til den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder gennemfører den dataansvarlige passende tekniske og organisatoriske foranstaltninger for at sikre og for at være i stand til at påvise, at behandling er i overensstemmelse med denne forordning. Disse foranstaltninger skal om nødvendigt revideres og ajourføres.

2.   Hvis det står i rimeligt forhold til behandlingsaktiviteter, skal de foranstaltninger, der er omhandlet i stk. 1, omfatte den dataansvarliges implementering af passende databeskyttelsespolitikker.

3.   Overholdelse af godkendte adfærdskodekser som omhandlet i artikel 40 eller godkendte certificeringsmekanismer som omhandlet i artikel 42 kan bruges som et element til at påvise overholdelse af den dataansvarliges forpligtelser.

Artikel 25

Databeskyttelse gennem design og databeskyttelse gennem standardindstillinger

1.   Under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder, som behandlingen indebærer, gennemfører den dataansvarlige både på tidspunktet for fastlæggelse af midlerne til behandling og på tidspunktet for selve behandlingen passende tekniske og organisatoriske foranstaltninger, såsom pseudonymisering, som er designet med henblik på effektiv implementering af databeskyttelsesprincipper, såsom dataminimering, og med henblik på integrering af de fornødne garantier i behandlingen for at opfylde kravene i denne forordning og beskytte de registreredes rettigheder.

2.   Den dataansvarlige gennemfører passende tekniske og organisatoriske foranstaltninger med henblik på gennem standardindstillinger at sikre, at kun personoplysninger, der er nødvendige til hvert specifikt formål med behandlingen, behandles. Denne forpligtelse gælder den mængde personoplysninger, der indsamles, og omfanget af deres behandling samt deres opbevaringsperiode og tilgængelighed. Sådanne foranstaltninger skal navnlig gennem standardindstillinger sikre, at personoplysninger ikke uden den pågældende fysiske persons indgriben stilles til rådighed for et ubegrænset antal fysiske personer.

3.   En godkendt certificeringsmekanisme i medfør af artikel 42 kan blive brugt som et element til at påvise overholdelse af kravene i nærværende artikels stk. 1 og 2.

Artikel 26

Fælles dataansvarlige

1.   Hvis to eller flere dataansvarlige i fællesskab fastlægger formålene med og hjælpemidlerne til behandling, er de fælles dataansvarlige. De fastlægger på en gennemsigtig måde deres respektive ansvar for overholdelse af forpligtelserne i henhold til denne forordning, navnlig hvad angår udøvelse af den registreredes rettigheder og deres respektive forpligtelser til at fremlægge de oplysninger, der er omhandlet i artikel 13 og 14, ved hjælp af en ordning mellem dem, medmindre og i det omfang de dataansvarliges respektive ansvar er fastlagt i EU-ret eller medlemsstaternes nationale ret, som de dataansvarlige er underlagt. I ordningen kan der udpeges et kontaktpunkt for registrerede.

2.   Ordningen, der er omhandlet i stk. 1, skal på behørig vis afspejle de fælles dataansvarliges respektive roller og forhold til de registrerede. Det væsentligste indhold af ordningen skal gøres tilgængeligt for de registrerede.

3.   Uanset udformningen af den ordning, der er omhandlet i stk. 1, kan den registrerede udøve sine rettigheder i medfør af denne forordning med hensyn til og over for den enkelte dataansvarlige.

Artikel 27

Repræsentanter for dataansvarlige og databehandlere, der ikke er etableret i Unionen

1.   Hvis artikel 3, stk. 2, finder anvendelse, udpeger den dataansvarlige eller databehandleren skriftligt en repræsentant i Unionen.

2.   Forpligtelsen fastsat i denne artikels stk. 1 gælder ikke for:

| a) | behandling, der er lejlighedsvis, som ikke i stort omfang omfatter behandling af særlige kategorier af oplysninger, jf. artikel 9, stk. 1, eller behandling af personoplysninger vedrørende straffedomme og lovovertrædelser, jf. artikel 10, og som sandsynligvis ikke indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder under hensyntagen til behandlingens karakter, sammenhæng, omfang og formål, eller |
| --- | --- |

a)

behandling, der er lejlighedsvis, som ikke i stort omfang omfatter behandling af særlige kategorier af oplysninger, jf. artikel 9, stk. 1, eller behandling af personoplysninger vedrørende straffedomme og lovovertrædelser, jf. artikel 10, og som sandsynligvis ikke indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder under hensyntagen til behandlingens karakter, sammenhæng, omfang og formål, eller

| b) | offentlige myndigheder eller organer. |
| --- | --- |

b)

offentlige myndigheder eller organer.

3.   Repræsentanten skal være etableret i en af de medlemsstater, hvor de registrerede, hvis personoplysninger behandles i forbindelse med udbud af varer eller tjenesteydelser til dem, eller hvis adfærd overvåges, er.

4.   Repræsentanten bemyndiges af den dataansvarlige eller databehandleren til at modtage henvendelser ud over eller i stedet for den dataansvarlige eller databehandleren, navnlig fra tilsynsmyndigheder og registrerede, i forbindelse med alle spørgsmål vedrørende behandling med henblik på at sikre overholdelse af denne forordning.

5.   Den dataansvarliges eller databehandlerens udpegning af en repræsentant berører ikke eventuelle retlige skridt mod den dataansvarlige eller databehandleren selv.

Artikel 28

Databehandler

1.   Hvis en behandling skal foretages på vegne af en dataansvarlig, benytter den dataansvarlige udelukkende databehandlere, der kan stille de fornødne garantier for, at de vil gennemføre de passende tekniske og organisatoriske foranstaltninger på en sådan måde, at behandling opfylder kravene i denne forordning og sikrer beskyttelse af den registreredes rettigheder.

2.   Databehandleren må ikke gøre brug af en anden databehandler uden forudgående specifik eller generel skriftligt godkendelse fra den dataansvarlige. I tilfælde af generel skriftlig godkendelse skal databehandleren underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af andre databehandlere og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer.

3.   En databehandlers behandling skal være reguleret af en kontrakt eller et andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, der er bindende for databehandleren med hensyn til den dataansvarlige, og der fastsætter genstanden for og varigheden af behandlingen, behandlingens karakter og formål, typen af personoplysninger og kategorierne af registrerede samt den dataansvarliges forpligtelser og rettigheder. Denne kontrakt eller dette andet retlige dokument fastsætter navnlig, at databehandleren:

| a) | kun må behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, herunder for så vidt angår overførsel af personoplysninger til et tredjeland eller en international organisation, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt; i så fald underretter databehandleren den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser |
| --- | --- |

a)

kun må behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, herunder for så vidt angår overførsel af personoplysninger til et tredjeland eller en international organisation, medmindre det kræves i henhold til EU-ret eller medlemsstaternes nationale ret, som databehandleren er underlagt; i så fald underretter databehandleren den dataansvarlige om dette retlige krav inden behandling, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser

| b) | sikrer, at de personer, der er autoriseret til at behandle personoplysninger, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt |
| --- | --- |

b)

sikrer, at de personer, der er autoriseret til at behandle personoplysninger, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt

| c) | iværksætter alle foranstaltninger, som kræves i henhold til artikel 32 |
| --- | --- |

c)

iværksætter alle foranstaltninger, som kræves i henhold til artikel 32

| d) | opfylder de betingelser, der er omhandlet i stk. 2 og 4, for at gøre brug af en anden databehandler |
| --- | --- |

d)

opfylder de betingelser, der er omhandlet i stk. 2 og 4, for at gøre brug af en anden databehandler

| e) | under hensyntagen til behandlingens karakter, så vidt muligt bistår den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger, med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelse af de registreredes rettigheder som fastlagt i kapitel III |
| --- | --- |

e)

under hensyntagen til behandlingens karakter, så vidt muligt bistår den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger, med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelse af de registreredes rettigheder som fastlagt i kapitel III

| f) | bistår den dataansvarlige med at sikre overholdelse af forpligtelserne i medfør af artikel 32-36 under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for databehandleren |
| --- | --- |

f)

bistår den dataansvarlige med at sikre overholdelse af forpligtelserne i medfør af artikel 32-36 under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for databehandleren

| g) | efter den dataansvarliges valg sletter eller tilbageleverer alle personoplysninger til den dataansvarlige, efter at tjenesterne vedrørende behandling er ophørt, og sletter eksisterende kopier, medmindre EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring af personoplysningerne |
| --- | --- |

g)

efter den dataansvarliges valg sletter eller tilbageleverer alle personoplysninger til den dataansvarlige, efter at tjenesterne vedrørende behandling er ophørt, og sletter eksisterende kopier, medmindre EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring af personoplysningerne

| h) | stiller alle oplysninger, der er nødvendige for at påvise overholdelse af kravene i denne artikel, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige. |
| --- | --- |

h)

stiller alle oplysninger, der er nødvendige for at påvise overholdelse af kravene i denne artikel, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige.

For så vidt angår første afsnit, litra h), underretter databehandleren omgående den dataansvarlige, hvis en instruks efter vedkommendes mening er i strid med denne forordning eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.

4.   Gør en databehandler brug af en anden databehandler i forbindelse med udførelse af specifikke behandlingsaktiviteter på vegne af den dataansvarlige, pålægges denne anden databehandler de samme databeskyttelsesforpligtelser som dem, der er fastsat i kontrakten eller et andet retligt dokument mellem den dataansvarlige og databehandleren som omhandlet i stk. 3, gennem en kontrakt eller et andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, hvorved der navnlig stilles de fornødne garantier for, at de vil gennemføre de passende tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen opfylder kravene i denne forordning. Hvis denne anden databehandler ikke opfylder sine databeskyttelsesforpligtelser, forbliver den oprindelige databehandler fuldt ansvarlig over for den dataansvarlige for opfyldelsen af denne anden databehandlers forpligtelser.

5.   En databehandlers overholdelse af en godkendt adfærdskodeks som omhandlet i artikel 40 eller en godkendt certificeringsmekanisme som omhandlet i artikel 42 kan bruges som et element til at påvise fornødne garantier som omhandlet i nærværende artikels stk. 1 og 4.

6.   Uden at det berører en individuel kontrakt mellem den dataansvarlige og databehandleren, kan kontrakten eller det andet retlige dokument, der er omhandlet i denne artikels stk. 3 og 4, helt eller delvis baseres på de standardkontraktbestemmelser, der er anført i denne artikels stk. 7 og 8, herunder når de indgår i en certificering, der er meddelt den dataansvarlige eller databehandleren i henhold til artikel 42 og 43.

7.   Kommissionen kan fastsætte standardkontraktbestemmelser i de tilfælde, der er omhandlet i denne artikels stk. 3 og 4, og i overensstemmelse med undersøgelsesproceduren, der er omhandlet i artikel 93, stk. 2.

8.   En tilsynsmyndighed kan vedtage standardkontraktbestemmelser i de tilfælde, der er omhandlet i denne artikels stk. 3 og 4, og i overensstemmelse med sammenhængsmekanismen, der er omhandlet i artikel 63.

9.   Kontrakten eller det andet retlige dokument, der er omhandlet i stk. 3 og 4, skal foreligge skriftligt, herunder elektronisk.

10.   Hvis en databehandler overtræder denne forordning ved at fastlægge formålene med og hjælpemidlerne til behandling, anses databehandleren for at være en dataansvarlig for så vidt angår den pågældende behandling, uden at dette berører artikel 82, 83 og 84.

Artikel 29

Behandling, der udføres for den dataansvarlige eller databehandleren

Databehandleren og enhver, der udfører arbejde for den dataansvarlige eller databehandleren, og som har adgang til personoplysninger, behandler kun disse oplysninger efter instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-retten eller medlemsstaternes nationale ret.

Artikel 30

Fortegnelser over behandlingsaktiviteter

1.   Hver dataansvarlig og hvis det er relevant, den dataansvarliges repræsentant fører fortegnelser over behandlingsaktiviteter under deres ansvar. Disse fortegnelser skal omfatte alle af følgende oplysninger:

| a) | navn på og kontaktoplysninger for den dataansvarlige og, hvis det er relevant, den fælles dataansvarlige, den dataansvarliges repræsentant og databeskyttelsesrådgiveren |
| --- | --- |

a)

navn på og kontaktoplysninger for den dataansvarlige og, hvis det er relevant, den fælles dataansvarlige, den dataansvarliges repræsentant og databeskyttelsesrådgiveren

| b) | formålene med behandlingen |
| --- | --- |

b)

formålene med behandlingen

| c) | en beskrivelse af kategorierne af registrerede og kategorierne af personoplysninger |
| --- | --- |

c)

en beskrivelse af kategorierne af registrerede og kategorierne af personoplysninger

| d) | de kategorier af modtagere, som personoplysningerne er eller vil blive videregivet til, herunder modtagere i tredjelande eller internationale organisationer |
| --- | --- |

d)

de kategorier af modtagere, som personoplysningerne er eller vil blive videregivet til, herunder modtagere i tredjelande eller internationale organisationer

| e) | hvor det er relevant, overførsler af personoplysninger til et tredjeland eller en international organisation, herunder angivelse af dette tredjeland eller denne internationale organisation og i tilfælde af overførsler i henhold til artikel 49, stk. 1, andet afsnit, dokumentation for passende garantier |
| --- | --- |

e)

hvor det er relevant, overførsler af personoplysninger til et tredjeland eller en international organisation, herunder angivelse af dette tredjeland eller denne internationale organisation og i tilfælde af overførsler i henhold til artikel 49, stk. 1, andet afsnit, dokumentation for passende garantier

| f) | hvis det er muligt, de forventede tidsfrister for sletning af de forskellige kategorier af oplysninger |
| --- | --- |

f)

hvis det er muligt, de forventede tidsfrister for sletning af de forskellige kategorier af oplysninger

| g) | hvis det er muligt, en generel beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger omhandlet i artikel 32, stk. 1. |
| --- | --- |

g)

hvis det er muligt, en generel beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger omhandlet i artikel 32, stk. 1.

2.   Hver databehandler og, hvis det er relevant, databehandlerens repræsentant fører fortegnelser over alle kategorier af behandlingsaktiviteter, der foretages på vegne af en dataansvarlig, idet fortegnelsen skal indeholde:

| a) | navn på og kontaktoplysninger for databehandleren eller databehandlerne og for hver dataansvarlig, på hvis vegne databehandleren handler, samt, hvis det er relevant, den dataansvarliges eller databehandlerens repræsentant og databeskyttelsesrådgiveren |
| --- | --- |

a)

navn på og kontaktoplysninger for databehandleren eller databehandlerne og for hver dataansvarlig, på hvis vegne databehandleren handler, samt, hvis det er relevant, den dataansvarliges eller databehandlerens repræsentant og databeskyttelsesrådgiveren

| b) | de kategorier af behandling, der foretages på vegne af den enkelte dataansvarlige |
| --- | --- |

b)

de kategorier af behandling, der foretages på vegne af den enkelte dataansvarlige

| c) | hvor det er relevant, overførsler af personoplysninger til et tredjeland eller en international organisation, herunder angivelse af dette tredjeland eller denne internationale organisation og i tilfælde af overførsler i henhold til artikel 49, stk. 1, andet afsnit, dokumentation for passende garantier |
| --- | --- |

c)

hvor det er relevant, overførsler af personoplysninger til et tredjeland eller en international organisation, herunder angivelse af dette tredjeland eller denne internationale organisation og i tilfælde af overførsler i henhold til artikel 49, stk. 1, andet afsnit, dokumentation for passende garantier

| d) | hvis det er muligt, en generel beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger omhandlet i artikel 32, stk. 1. |
| --- | --- |

d)

hvis det er muligt, en generel beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger omhandlet i artikel 32, stk. 1.

3.   De fortegnelser, der er omhandlet i stk. 1 og 2, skal foreligge skriftligt, herunder elektronisk.

4.   Den dataansvarlige eller databehandleren samt, hvis det er relevant, den dataansvarliges eller databehandlerens repræsentant stiller efter anmodning fortegnelserne til rådighed for tilsynsmyndigheden.

5.   De i stk. 1 og 2 omhandlede forpligtelser finder ikke anvendelse på et foretagende eller en organisation, der beskæftiger under 250 personer, medmindre den behandling, som den foretager, sandsynligvis vil medføre en risiko for registreredes rettigheder og frihedsrettigheder, behandlingen ikke er lejlighedsvis, eller behandlingen omfatter særlige kategorier af oplysninger, jf. artikel 9, stk. 1, eller personoplysninger vedrørende straffedomme og lovovertrædelser, jf. artikel 10.

Artikel 31

Samarbejde med tilsynsmyndigheden

Den dataansvarlige og databehandleren samt, hvis det er relevant, deres repræsentanter samarbejder efter anmodning med tilsynsmyndigheden i forbindelse med udførelsen af dens opgaver.

Afdeling 2

Personoplysningssikkerhed

Artikel 32

Behandlingssikkerhed

1.   Under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder gennemfører den dataansvarlige og databehandleren passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici, herunder bl.a. alt efter hvad der er relevant:

| a) | pseudonymisering og kryptering af personoplysninger |
| --- | --- |

a)

pseudonymisering og kryptering af personoplysninger

| b) | evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og -tjenester |
| --- | --- |

b)

evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og -tjenester

| c) | evne til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af en fysisk eller teknisk hændelse |
| --- | --- |

c)

evne til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af en fysisk eller teknisk hændelse

| d) | en procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerhed. |
| --- | --- |

d)

en procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerhed.

2.   Ved vurderingen af, hvilket sikkerhedsniveau der er passende, tages der navnlig hensyn til de risici, som behandling udgør, navnlig ved hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet.

3.   Overholdelse af en godkendt adfærdskodeks som omhandlet i artikel 40 eller en godkendt certificeringsmekanisme som omhandlet i artikel 42 kan bruges som et element til at påvise overholdelse af kravene i nærværende artikels stk. 1.

4.   Den dataansvarlige og databehandleren tager skridt til at sikre, at enhver fysisk person, der udfører arbejde for den dataansvarlige eller databehandleren, og som får adgang til personoplysninger, kun behandler disse efter instruks fra den dataansvarlige, medmindre behandling kræves i henhold til EU-retten eller medlemsstaternes nationale ret.

Artikel 33

Anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden

1.   Ved brud på persondatasikkerheden anmelder den dataansvarlige uden unødig forsinkelse og om muligt senest 72 timer, efter at denne er blevet bekendt med det, bruddet på persondatasikkerheden til den tilsynsmyndighed, som er kompetent i overensstemmelse med artikel 55, medmindre at det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder. Foretages anmeldelsen til tilsynsmyndigheden ikke inden for 72 timer, ledsages den af en begrundelse for forsinkelsen.

2.   Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på, at der er sket brud på persondatasikkerheden.

3.   Den i stk. 1 omhandlede anmeldelse skal mindst:

| a) | beskrive karakteren af bruddet på persondatasikkerheden, herunder, hvis det er muligt, kategorierne og det omtrentlige antal berørte registrerede samt kategorierne og det omtrentlige antal berørte registreringer af personoplysninger |
| --- | --- |

a)

beskrive karakteren af bruddet på persondatasikkerheden, herunder, hvis det er muligt, kategorierne og det omtrentlige antal berørte registrerede samt kategorierne og det omtrentlige antal berørte registreringer af personoplysninger

| b) | angive navn på og kontaktoplysninger for databeskyttelsesrådgiveren eller et andet kontaktpunkt, hvor yderligere oplysninger kan indhentes |
| --- | --- |

b)

angive navn på og kontaktoplysninger for databeskyttelsesrådgiveren eller et andet kontaktpunkt, hvor yderligere oplysninger kan indhentes

| c) | beskrive de sandsynlige konsekvenser af bruddet på persondatasikkerheden |
| --- | --- |

c)

beskrive de sandsynlige konsekvenser af bruddet på persondatasikkerheden

| d) | beskrive de foranstaltninger, som den dataansvarlige har truffet eller foreslår truffet for at håndtere bruddet på persondatasikkerheden, herunder, hvis det er relevant, foranstaltninger for at begrænse dets mulige skadevirkninger. |
| --- | --- |

d)

beskrive de foranstaltninger, som den dataansvarlige har truffet eller foreslår truffet for at håndtere bruddet på persondatasikkerheden, herunder, hvis det er relevant, foranstaltninger for at begrænse dets mulige skadevirkninger.

4.   Når og for så vidt som det ikke er muligt at give oplysningerne samlet, kan oplysningerne meddeles trinvist uden unødig yderligere forsinkelse.

5.   Den dataansvarlige dokumenterer alle brud på persondatasikkerheden, herunder de faktiske omstændigheder ved bruddet på persondatasikkerheden, dets virkninger og de trufne afhjælpende foranstaltninger. Denne dokumentation skal kunne sætte tilsynsmyndigheden i stand til at kontrollere, at denne artikel er overholdt.

Artikel 34

Underretning om brud på persondatasikkerheden til den registrerede

1.   Når et brud på persondatasikkerheden sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, underretter den dataansvarlige uden unødig forsinkelse den registrerede om bruddet på persondatasikkerheden.

2.   Underretningen af den registrerede i henhold til denne artikels stk. 1 skal i et klart og forståeligt sprog beskrive karakteren af bruddet på persondatasikkerheden og mindst indeholde de oplysninger og foranstaltninger, der er omhandlet i artikel 33, stk. 3, litra b), c) og d).

3.   Det er ikke nødvendigt at underrette den registrerede som omhandlet i stk. 1, hvis en af følgende betingelser er opfyldt:

| a) | den dataansvarlige har gennemført passende tekniske og organisatoriske beskyttelsesforanstaltninger, og disse foranstaltninger er blevet anvendt på de personoplysninger, som er berørt af bruddet på persondatasikkerheden, navnlig foranstaltninger, der gør personoplysningerne uforståelige for enhver, der ikke har autoriseret adgang hertil, som f.eks. kryptering |
| --- | --- |

a)

den dataansvarlige har gennemført passende tekniske og organisatoriske beskyttelsesforanstaltninger, og disse foranstaltninger er blevet anvendt på de personoplysninger, som er berørt af bruddet på persondatasikkerheden, navnlig foranstaltninger, der gør personoplysningerne uforståelige for enhver, der ikke har autoriseret adgang hertil, som f.eks. kryptering

| b) | den dataansvarlige har truffet efterfølgende foranstaltninger, der sikrer, at den høje risiko for de registreredes rettigheder og frihedsrettigheder som omhandlet i stk. 1 sandsynligvis ikke længere er reel |
| --- | --- |

b)

den dataansvarlige har truffet efterfølgende foranstaltninger, der sikrer, at den høje risiko for de registreredes rettigheder og frihedsrettigheder som omhandlet i stk. 1 sandsynligvis ikke længere er reel

| c) | det vil kræve en uforholdsmæssig indsats. I et sådant tilfælde skal der i stedet foretages en offentlig meddelelse eller tilsvarende foranstaltning, hvorved de registrerede underrettes på en tilsvarende effektiv måde. |
| --- | --- |

c)

det vil kræve en uforholdsmæssig indsats. I et sådant tilfælde skal der i stedet foretages en offentlig meddelelse eller tilsvarende foranstaltning, hvorved de registrerede underrettes på en tilsvarende effektiv måde.

4.   Hvis den dataansvarlige ikke allerede har underrettet den registrerede om bruddet på persondatasikkerheden, kan tilsynsmyndigheden efter at have overvejet sandsynligheden for, at bruddet på persondatasikkerheden indebærer en høj risiko, kræve, at den dataansvarlige gør dette, eller beslutte, at en af betingelserne i stk. 3 er opfyldt.

Afdeling 3

Konsekvensanalyse vedrørende databeskyttelse og forudgående høring

Artikel 35

Konsekvensanalyse vedrørende databeskyttelse

1.   Hvis en type behandling, navnlig ved brug af nye teknologier og i medfør af sin karakter, omfang, sammenhæng og formål, sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, foretager den dataansvarlige forud for behandlingen en analyse af de påtænkte behandlingsaktiviteters konsekvenser for beskyttelse af personoplysninger. En enkelt analyse kan omfatte flere lignende behandlingsaktiviteter, der indebærer lignende høje risici.

2.   Den dataansvarlige rådfører sig med databeskyttelsesrådgiveren, hvis en sådan er udpeget, når der foretages en konsekvensanalyse vedrørende databeskyttelse.

3.   En konsekvensanalyse vedrørende databeskyttelse som omhandlet i stk. 1 er navnlig påkrævet i følgende tilfælde:

| a) | en systematisk og omfattende vurdering af personlige forhold vedrørende fysiske personer, der er baseret på automatisk behandling, herunder profilering, og som er grundlag for afgørelser, der har retsvirkning for den fysiske person eller på tilsvarende vis betydeligt påvirker den fysiske person |
| --- | --- |

a)

en systematisk og omfattende vurdering af personlige forhold vedrørende fysiske personer, der er baseret på automatisk behandling, herunder profilering, og som er grundlag for afgørelser, der har retsvirkning for den fysiske person eller på tilsvarende vis betydeligt påvirker den fysiske person

| b) | behandling i stort omfang af særlige kategorier af oplysninger, jf. artikel 9, stk. 1, eller af personoplysninger vedrørende straffedomme og lovovertrædelser, jf. artikel 10, eller |
| --- | --- |

b)

behandling i stort omfang af særlige kategorier af oplysninger, jf. artikel 9, stk. 1, eller af personoplysninger vedrørende straffedomme og lovovertrædelser, jf. artikel 10, eller

| c) | systematisk overvågning af et offentligt tilgængeligt område i stort omfang. |
| --- | --- |

c)

systematisk overvågning af et offentligt tilgængeligt område i stort omfang.

4.   Tilsynsmyndigheden udarbejder og offentliggør en liste over de typer af behandlingsaktiviteter, der er underlagt kravet om en konsekvensanalyse vedrørende databeskyttelse i henhold til stk. 1. Tilsynsmyndigheden indgiver disse lister til det i artikel 68 omhandlede Databeskyttelsesråd.

5.   Tilsynsmyndigheden kan også udarbejde og offentliggøre en liste over de typer af behandlingsaktiviteter, for hvilke der ikke kræves nogen konsekvensanalyse vedrørende databeskyttelse. Tilsynsmyndigheden indgiver disse lister til Databeskyttelsesrådet.

6.   Inden vedtagelsen af listerne i stk. 4 og 5 anvender den kompetente tilsynsmyndighed den sammenhængsmekanisme, der er omhandlet i artikel 63, hvis sådanne lister omfatter behandlingsaktiviteter, der vedrører udbud af varer eller tjenesteydelser til registrerede eller overvågning af sådanne registreredes adfærd i flere medlemsstater, eller som i væsentlig grad kan påvirke den frie udveksling af personoplysninger i Unionen.

7.   Analysen skal mindst omfatte:

| a) | en systematisk beskrivelse af de planlagte behandlingsaktiviteter og formålene med behandlingen, herunder i givet fald de legitime interesser, der forfølges af den dataansvarlige |
| --- | --- |

a)

en systematisk beskrivelse af de planlagte behandlingsaktiviteter og formålene med behandlingen, herunder i givet fald de legitime interesser, der forfølges af den dataansvarlige

| b) | en vurdering af, om behandlingsaktiviteterne er nødvendige og står i rimeligt forhold til formålene |
| --- | --- |

b)

en vurdering af, om behandlingsaktiviteterne er nødvendige og står i rimeligt forhold til formålene

| c) | en vurdering af risiciene for de registreredes rettigheder og frihedsrettigheder som omhandlet i stk. 1, og |
| --- | --- |

c)

en vurdering af risiciene for de registreredes rettigheder og frihedsrettigheder som omhandlet i stk. 1, og

| d) | de foranstaltninger, der påtænkes for at imødegå disse risici, herunder garantier, sikkerhedsforanstaltninger og mekanismer, som kan sikre beskyttelse af personoplysninger og påvise overholdelse af denne forordning, under hensyntagen til de registreredes og andre berørte personers rettigheder og legitime interesser. |
| --- | --- |

d)

de foranstaltninger, der påtænkes for at imødegå disse risici, herunder garantier, sikkerhedsforanstaltninger og mekanismer, som kan sikre beskyttelse af personoplysninger og påvise overholdelse af denne forordning, under hensyntagen til de registreredes og andre berørte personers rettigheder og legitime interesser.

8.   Overholdelse af godkendte adfærdskodekser, jf. artikel 40, inddrages behørigt ved vurderingen af konsekvenserne af de behandlingsaktiviteter, der udføres af de pågældende dataansvarlige eller databehandlere, navnlig i forbindelse med en konsekvensanalyse vedrørende databeskyttelse.

9.   Den dataansvarlige indhenter, hvis det er relevant, de registreredes eller deres repræsentanters synspunkter vedrørende den planlagte behandling, uden at det berører beskyttelse af kommercielle eller samfundsmæssige interesser eller behandlingsaktiviteternes sikkerhed.

10.   Hvis behandling i henhold til artikel 6, stk. 1, litra c) eller e), har et retsgrundlag i EU-retten eller i den medlemsstats nationale ret, som den dataansvarlige er underlagt, og denne ret regulerer den eller de pågældende specifikke behandlingsaktiviteter, og der allerede er foretaget en konsekvensanalyse vedrørende databeskyttelse som led i en generel konsekvensanalyse i forbindelse med vedtagelsen af dette retsgrundlag, finder stk. 1-7 ikke anvendelse, medmindre medlemsstaterne anser det for nødvendigt at foretage en sådan analyse inden behandlingsaktiviteter.

11.   Den dataansvarlige foretager, hvis det er nødvendigt, en fornyet gennemgang for at vurdere, hvorvidt behandling er foretaget i overensstemmelse med konsekvensanalysen vedrørende databeskyttelse, i hvert fald når der er en ændring af den risiko, som behandlingsaktiviteterne udgør.

Artikel 36

Forudgående høring

1.   Den dataansvarlige hører tilsynsmyndigheden inden behandling, såfremt en konsekvensanalyse vedrørende databeskyttelse foretaget i henhold til artikel 35 viser, at behandlingen vil føre til høj risiko i mangel af foranstaltninger truffet af den dataansvarlige for at begrænse risikoen.

2.   Hvis tilsynsmyndigheden finder, at den planlagte behandling omhandlet i stk. 1 overtræder denne forordning, navnlig hvis den dataansvarlige ikke tilstrækkeligt har identificeret eller begrænset risikoen, skal tilsynsmyndigheden inden for en periode på op til otte uger efter modtagelse af anmodningen om høring give den dataansvarlige og, hvor det er relevant, databehandleren skriftlig rådgivning og kan i den forbindelse anvende enhver af sine beføjelser, jf. artikel 58. Denne periode kan forlænges med seks uger under hensyntagen til den påtænkte behandlings kompleksitet. Tilsynsmyndigheden underretter den dataansvarlige og, hvor det er relevant, databehandleren om enhver sådan forlængelse senest en måned efter modtagelse af anmodningen om høring sammen med begrundelsen for forsinkelsen. Disse perioder kan suspenderes, indtil tilsynsmyndigheden har modtaget oplysninger, som den har anmodet om med henblik på høringen.

3.   Når tilsynsmyndigheden skal høres i henhold til stk. 1, indgiver den dataansvarlige følgende til tilsynsmyndigheden:

| a) | hvor det er relevant, ansvarsområderne for henholdsvis den dataansvarlige, fælles dataansvarlige og databehandleren, der er involveret i behandlingen, navnlig med hensyn til behandling inden for en koncern |
| --- | --- |

a)

hvor det er relevant, ansvarsområderne for henholdsvis den dataansvarlige, fælles dataansvarlige og databehandleren, der er involveret i behandlingen, navnlig med hensyn til behandling inden for en koncern

| b) | den planlagte behandlings formål og hjælpemidler |
| --- | --- |

b)

den planlagte behandlings formål og hjælpemidler

| c) | foranstaltninger og garantier til beskyttelse af de registreredes rettigheder og frihedsrettigheder i henhold til denne forordning |
| --- | --- |

c)

foranstaltninger og garantier til beskyttelse af de registreredes rettigheder og frihedsrettigheder i henhold til denne forordning

| d) | hvor det er relevant, databeskyttelsesrådgiverens kontaktoplysninger |
| --- | --- |

d)

hvor det er relevant, databeskyttelsesrådgiverens kontaktoplysninger

| e) | konsekvensanalysen vedrørende databeskyttelse i henhold til artikel 35, og |
| --- | --- |

e)

konsekvensanalysen vedrørende databeskyttelse i henhold til artikel 35, og

| f) | andre oplysninger, som tilsynsmyndigheden anmoder om. |
| --- | --- |

f)

andre oplysninger, som tilsynsmyndigheden anmoder om.

4.   Medlemsstaterne hører tilsynsmyndigheden som led i udarbejdelse af et forslag til lovgivningsmæssige foranstaltninger, som skal vedtages af et nationalt parlament, eller af en regulerende foranstaltning, der har hjemmel i en sådan lovgivningsmæssig foranstaltning, som vedrører behandling.

5.   Uanset stk. 1 kan det i medlemsstaternes nationale ret kræves, at dataansvarlige hører og opnår forudgående tilladelse fra tilsynsmyndigheden i forbindelse med en dataansvarligs behandling under udførelsen af en opgave i samfundets interesse, herunder behandling i forbindelse med social sikring og folkesundhed.

Afdeling 4

Databeskyttelsesrådgiver

Artikel 37

Udpegelse af en databeskyttelsesrådgiver

1.   Den dataansvarlige og databehandleren udpeger altid en databeskyttelsesrådgiver, når:

| a) | behandling foretages af en offentlig myndighed eller et offentligt organ, undtagen domstole, der handler i deres egenskab af domstol |
| --- | --- |

a)

behandling foretages af en offentlig myndighed eller et offentligt organ, undtagen domstole, der handler i deres egenskab af domstol

| b) | den dataansvarliges eller databehandlerens kerneaktiviteter består af behandlingsaktiviteter, der i medfør af deres karakter, omfang og/eller formål kræver regelmæssig og systematisk overvågning af registrerede i stort omfang, eller |
| --- | --- |

b)

den dataansvarliges eller databehandlerens kerneaktiviteter består af behandlingsaktiviteter, der i medfør af deres karakter, omfang og/eller formål kræver regelmæssig og systematisk overvågning af registrerede i stort omfang, eller

| c) | den dataansvarliges eller databehandlerens kerneaktiviteter består af behandling i stort omfang af særlige kategorier af oplysninger, jf. artikel 9, og personoplysninger vedrørende straffedomme og lovovertrædelser, jf. artikel 10. |
| --- | --- |

c)

den dataansvarliges eller databehandlerens kerneaktiviteter består af behandling i stort omfang af særlige kategorier af oplysninger, jf. artikel 9, og personoplysninger vedrørende straffedomme og lovovertrædelser, jf. artikel 10.

2.   En koncern kan udnævne en fælles databeskyttelsesrådgiver, forudsat at alle etableringer har let adgang til databeskyttelsesrådgiveren.

3.   Hvis den dataansvarlige eller databehandleren er en offentlig myndighed eller et offentligt organ, kan en fælles databeskyttelsesrådgiver udpeges for flere af sådanne myndigheder eller organer i overensstemmelse med deres organisatoriske struktur og størrelse.

4.   I andre tilfælde end de i stk. 1 omhandlede kan eller, når det kræves i henhold til EU-retten eller medlemsstaternes nationale ret, skal den dataansvarlige eller databehandleren eller sammenslutninger og andre organer, som repræsenterer kategorier af dataansvarlige eller databehandlere, udpege en databeskyttelsesrådgiver. Databeskyttelsesrådgiveren kan handle på vegne af sådanne sammenslutninger og andre organer, som repræsenterer dataansvarlige eller databehandlere.

5.   Databeskyttelsesrådgiveren udpeges på grundlag af sine faglige kvalifikationer, navnlig ekspertise inden for databeskyttelsesret og -praksis samt evne til at udføre de opgaver, der er omhandlet i artikel 39.

6.   Databeskyttelsesrådgiveren kan være den dataansvarliges eller databehandlerens medarbejder eller kan udføre hvervet på grundlag af en tjenesteydelseskontrakt.

7.   Den dataansvarlige eller databehandleren offentliggør kontaktoplysninger for databeskyttelsesrådgiveren og meddeler disse til tilsynsmyndigheden.

Artikel 38

Databeskyttelsesrådgiverens stilling

1.   Den dataansvarlige og databehandleren sikrer, at databeskyttelsesrådgiveren inddrages tilstrækkeligt og rettidigt i alle spørgsmål vedrørende beskyttelse af personoplysninger.

2.   Den dataansvarlige og databehandleren støtter databeskyttelsesrådgiveren i forbindelse med udførelsen af de i artikel 39 omhandlede opgaver ved at tilvejebringe de ressourcer, der er nødvendige for at udføre disse opgaver og opretholde databeskyttelsesrådgiverens ekspertise, samt adgang til personoplysninger og behandlingsaktiviteter.

3.   Den dataansvarlige og databehandleren sikrer, at databeskyttelsesrådgiveren ikke modtager instrukser vedrørende udførelsen af disse opgaver. Den pågældende må ikke afskediges eller straffes af den dataansvarlige eller databehandleren for at udføre sine opgaver. Databeskyttelsesrådgiveren rapporterer direkte til det øverste ledelsesniveau hos den dataansvarlige eller databehandleren.

4.   Registrerede kan kontakte databeskyttelsesrådgiveren angående alle spørgsmål om behandling af deres oplysninger og om udøvelse af deres rettigheder i henhold til denne forordning.

5.   Databeskyttelsesrådgiveren er underlagt tavshedspligt eller fortrolighed vedrørende udførelsen af sine opgaver i overensstemmelse med EU-retten eller medlemsstaternes nationale ret.

6.   Databeskyttelsesrådgiveren kan udføre andre opgaver og have andre pligter. Den dataansvarlige eller databehandleren sikrer, at sådanne opgaver og pligter ikke medfører en interessekonflikt.

Artikel 39

Databeskyttelsesrådgiverens opgaver

1.   Databeskyttelsesrådgiveren har som minimum følgende opgaver:

| a) | at underrette og rådgive den dataansvarlige eller databehandleren og de ansatte, der behandler personoplysninger, om deres forpligtelser i henhold til denne forordning og anden EU-ret eller national ret i medlemsstaterne om databeskyttelse |
| --- | --- |

a)

at underrette og rådgive den dataansvarlige eller databehandleren og de ansatte, der behandler personoplysninger, om deres forpligtelser i henhold til denne forordning og anden EU-ret eller national ret i medlemsstaterne om databeskyttelse

| b) | at overvåge overholdelsen af denne forordning, af anden EU-ret eller national ret i medlemsstaterne om databeskyttelse og af den dataansvarliges eller databehandlerens politikker om beskyttelse af personoplysninger, herunder fordeling af ansvar, oplysningskampagner og uddannelse af det personale, der medvirker ved behandlingsaktiviteter, og de tilhørende revisioner |
| --- | --- |

b)

at overvåge overholdelsen af denne forordning, af anden EU-ret eller national ret i medlemsstaterne om databeskyttelse og af den dataansvarliges eller databehandlerens politikker om beskyttelse af personoplysninger, herunder fordeling af ansvar, oplysningskampagner og uddannelse af det personale, der medvirker ved behandlingsaktiviteter, og de tilhørende revisioner

| c) | at rådgive, når der anmodes herom, med hensyn til konsekvensanalysen vedrørende databeskyttelse og overvåge dens opfyldelse i henhold til artikel 35 |
| --- | --- |

c)

at rådgive, når der anmodes herom, med hensyn til konsekvensanalysen vedrørende databeskyttelse og overvåge dens opfyldelse i henhold til artikel 35

| d) | at samarbejde med tilsynsmyndigheden |
| --- | --- |

d)

at samarbejde med tilsynsmyndigheden

| e) | at fungere som tilsynsmyndighedens kontaktpunkt i spørgsmål vedrørende behandling, herunder den forudgående høring, der er omhandlet i artikel 36, og at høre tilsynsmyndigheden, når det er hensigtsmæssigt, om eventuelle andre spørgsmål. |
| --- | --- |

e)

at fungere som tilsynsmyndighedens kontaktpunkt i spørgsmål vedrørende behandling, herunder den forudgående høring, der er omhandlet i artikel 36, og at høre tilsynsmyndigheden, når det er hensigtsmæssigt, om eventuelle andre spørgsmål.

2.   Databeskyttelsesrådgiveren tager under udførelsen af sine opgaver behørigt hensyn til den risiko, der er forbundet med behandlingsaktiviteter, under hensyntagen til den pågældende behandlings karakter, omfang, sammenhæng og formål.

Afdeling 5

Adfærdskodekser og certificering

Artikel 40

Adfærdskodekser

1.   Medlemsstaterne, tilsynsmyndighederne, Databeskyttelsesrådet og Kommissionen tilskynder til udarbejdelse af adfærdskodekser, der under hensyntagen til de særlige forhold i de forskellige behandlingssektorer og mikrovirksomheders og små og mellemstore virksomheders specifikke behov bidrager til korrekt anvendelse af denne forordning.

2.   Sammenslutninger eller andre organer, der repræsenterer kategorier af dataansvarlige eller databehandlere, kan udarbejde adfærdskodekser eller ændre eller udvide sådanne kodekser med henblik på at specificere anvendelsen af denne forordning, såsom med hensyn til:

| a) | rimelig og gennemsigtig behandling |
| --- | --- |

a)

rimelig og gennemsigtig behandling

| b) | de legitime interesser, som forfølges af den dataansvarlige i specifikke sammenhænge |
| --- | --- |

b)

de legitime interesser, som forfølges af den dataansvarlige i specifikke sammenhænge

| c) | indsamlingen af personoplysninger |
| --- | --- |

c)

indsamlingen af personoplysninger

| d) | pseudonymiseringen af personoplysninger |
| --- | --- |

d)

pseudonymiseringen af personoplysninger

| e) | informationen, der gives til offentligheden og til registrerede |
| --- | --- |

e)

informationen, der gives til offentligheden og til registrerede

| f) | udøvelsen af registreredes rettigheder |
| --- | --- |

f)

udøvelsen af registreredes rettigheder

| g) | informationen, der gives til børn, og beskyttelsen af børn og den måde, hvorpå samtykket fra indehavere af forældremyndighed over børn skal indhentes |
| --- | --- |

g)

informationen, der gives til børn, og beskyttelsen af børn og den måde, hvorpå samtykket fra indehavere af forældremyndighed over børn skal indhentes

| h) | foranstaltningerne og procedurerne omhandlet i artikel 24 og 25 og foranstaltningerne til at sikre behandlingssikkerhed som omhandlet i artikel 32 |
| --- | --- |

h)

foranstaltningerne og procedurerne omhandlet i artikel 24 og 25 og foranstaltningerne til at sikre behandlingssikkerhed som omhandlet i artikel 32

| i) | anmeldelsen af brud på persondatasikkerheden til tilsynsmyndighederne og underretningen af de registrerede om sådanne brud på persondatasikkerheden |
| --- | --- |

i)

anmeldelsen af brud på persondatasikkerheden til tilsynsmyndighederne og underretningen af de registrerede om sådanne brud på persondatasikkerheden

| j) | overførslen af personoplysninger til tredjelande eller internationale organisationer, eller |
| --- | --- |

j)

overførslen af personoplysninger til tredjelande eller internationale organisationer, eller

| k) | udenretslige procedurer og andre procedurer for bilæggelse af tvister mellem dataansvarlige og registrerede vedrørende behandling, uden at det berører registreredes rettigheder i henhold til artikel 77 og 79. |
| --- | --- |

k)

udenretslige procedurer og andre procedurer for bilæggelse af tvister mellem dataansvarlige og registrerede vedrørende behandling, uden at det berører registreredes rettigheder i henhold til artikel 77 og 79.

3.   Adfærdskodekser, der er godkendt i henhold til denne artikels stk. 5 og er generelt gyldige i henhold til denne artikels stk. 9, kan — ud over overholdelse af de dataansvarlige eller databehandlere, der er omfattet af denne forordning — også overholdes af dataansvarlige eller databehandlere, der i henhold til artikel 3 ikke er omfattet af denne forordning, med henblik på at sikre fornødne garantier inden for rammerne af overførsel af personoplysninger til tredjelande eller internationale organisationer, jf. artikel 46, stk. 2, litra e). Sådanne dataansvarlige eller databehandlere skal, gennem kontrakter eller andre retligt bindende instrumenter, afgive bindende tilsagn, som kan håndhæves, om at anvende disse fornødne garantier, herunder for så vidt angår registreredes rettigheder.

4.   En adfærdskodeks omhandlet i denne artikels stk. 2 skal indeholde mekanismer, der sætter organet omhandlet i artikel 41, stk. 1, i stand til at foretage obligatorisk kontrol for at sikre, at den dataansvarlige eller databehandler, der påtager sig at anvende adfærdskodeksen, overholder dens bestemmelser, uden at dette berører opgaverne og beføjelserne for de tilsynsmyndigheder, der er kompetente i henhold til artikel 55 eller 56.

5.   Sammenslutninger og andre organer omhandlet i denne artikels stk. 2, der har til hensigt at udarbejde en adfærdskodeks eller at ændre eller udvide en eksisterende adfærdskodeks, forelægger et udkast til kodeks, ændring eller udvidelse for den tilsynsmyndighed, der er kompetent i henhold til artikel 55. Tilsynsmyndigheden afgiver udtalelse om, hvorvidt udkastet til adfærdskodeks, ændring eller udvidelse overholder denne forordning, og godkender dette udkast til kodeks, ændring eller udvidelse, hvis den finder, at kodeksen sikrer tilstrækkelige fornødne garantier.

6.   Hvis udkastet til kodeks eller ændring eller udvidelse godkendes i overensstemmelse med stk. 5, og hvis den pågældende adfærdskodeks ikke vedrører behandlingsaktiviteter i flere medlemsstater, registrerer og offentliggør tilsynsmyndigheden kodeksen.

7.   Hvis et udkast til adfærdskodeks vedrører behandlingsaktiviteter i flere medlemsstater, forelægger den tilsynsmyndighed, der er kompetent i henhold til artikel 55, inden godkendelsen af udkastet til kodeks, ændring eller udvidelse, efter proceduren i artikel 63 udkastet for Databeskyttelsesrådet, der afgiver en udtalelse om, hvorvidt udkastet til kodeks, ændring eller udvidelse overholder denne forordning eller sikrer fornødne garantier i den situation, der er omhandlet i denne artikels stk. 3.

8.   Hvis den i stk. 7 omhandlede udtalelse bekræfter, at udkastet til kodeks, ændring eller udvidelse overholder denne forordning eller sikrer fornødne garantier i den situation, der er omhandlet i stk. 3, indsender Databeskyttelsesrådet sin udtalelse til Kommissionen.

9.   Kommissionen kan ved hjælp af gennemførelsesretsakter afgøre, at den godkendte adfærdskodeks, ændring eller udvidelse, som den har modtaget i henhold til denne artikels stk. 8, generelt er gyldige i Unionen. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 93, stk. 2.

10.   Kommissionen tilser, at de godkendte kodekser, som i henhold til Kommissionen har generel gyldighed, jf. stk. 9, offentliggøres på passende vis.

11.   Databeskyttelsesrådet samler alle godkendte adfærdskodekser, ændringer og udvidelser i et register og gør dem offentligt tilgængelige på passende vis.

Artikel 41

Kontrol af godkendte adfærdskodekser

1.   Uden at dette berører den kompetente tilsynsmyndigheds opgaver og beføjelser i henhold til artikel 57 og 58, kan kontrol af overholdelsen af en adfærdskodeks i henhold til artikel 40 foretages af et organ, der har et passende ekspertiseniveau for så vidt angår kodeksens genstand, og som er akkrediteret til dette formål af den kompetente tilsynsmyndighed.

2.   Et organ som omhandlet i stk. 1 kan akkrediteres til at kontrollere overholdelsen af en adfærdskodeks, hvis dette organ har:

| a) | påvist sin uafhængighed og ekspertise for så vidt angår kodeksens genstand til den kompetente tilsynsmyndigheds tilfredshed |
| --- | --- |

a)

påvist sin uafhængighed og ekspertise for så vidt angår kodeksens genstand til den kompetente tilsynsmyndigheds tilfredshed

| b) | fastlagt procedurer, der gør det muligt for organet at vurdere dataansvarliges og databehandleres egnethed til at anvende kodeksen, kontrollere deres overholdelse af dens bestemmelser og regelmæssigt vurdere kodeksens virkemåde |
| --- | --- |

b)

fastlagt procedurer, der gør det muligt for organet at vurdere dataansvarliges og databehandleres egnethed til at anvende kodeksen, kontrollere deres overholdelse af dens bestemmelser og regelmæssigt vurdere kodeksens virkemåde

| c) | fastlagt procedurer og ordninger for behandling af klager over overtrædelser af kodeksen eller den måde, hvorpå kodeksen er blevet eller bliver gennemført af en dataansvarlig eller en databehandler, og at gøre disse procedurer og ordninger gennemsigtige for registrerede og offentligheden, og |
| --- | --- |

c)

fastlagt procedurer og ordninger for behandling af klager over overtrædelser af kodeksen eller den måde, hvorpå kodeksen er blevet eller bliver gennemført af en dataansvarlig eller en databehandler, og at gøre disse procedurer og ordninger gennemsigtige for registrerede og offentligheden, og

| d) | påvist til den kompetente tilsynsmyndigheds tilfredshed, at dets opgaver og pligter ikke fører til en interessekonflikt. |
| --- | --- |

d)

påvist til den kompetente tilsynsmyndigheds tilfredshed, at dets opgaver og pligter ikke fører til en interessekonflikt.

3.   Den kompetente tilsynsmyndighed forelægger et udkast til kriterier for akkreditering af et organ som omhandlet i denne artikels stk. 1 for Databeskyttelsesrådet i henhold til sammenhængsmekanismen, der er omhandlet i artikel 63.

4.   Uden at dette berører den kompetente tilsynsmyndigheds opgaver og beføjelser eller bestemmelserne i kapitel VIII, træffer et organ som omhandlet i denne artikels stk. 1 under forudsætning af fornødne garantier de nødvendige foranstaltninger i tilfælde af en dataansvarligs eller databehandlers overtrædelse af kodeksen, herunder suspension eller udelukkelse af den dataansvarlige eller databehandleren fra kodeksen. Organet underretter den kompetente tilsynsmyndighed om sådanne foranstaltninger og begrundelsen for at have truffet dem.

5.   Den kompetente tilsynsmyndighed tilbagekalder akkrediteringen af et organ som omhandlet i stk. 1, hvis betingelserne for akkreditering ikke er eller ikke længere er opfyldt, eller hvis foranstaltninger truffet af organet overtræder denne forordning.

6.   Denne artikel finder ikke anvendelse på behandling, der udføres af offentlige myndigheder og organer.

Artikel 42

Certificering

1.   Medlemsstaterne, tilsynsmyndighederne, Databeskyttelsesrådet og Kommissionen tilskynder navnlig på EU-plan til fastlæggelse af certificeringsmekanismer for databeskyttelse samt databeskyttelsesmærkninger og -mærker med henblik på at påvise, at dataansvarliges og databehandleres behandlingsaktiviteter overholder denne forordning. Mikrovirksomheders og små og mellemstore virksomheders særlige behov tages i betragtning.

2.   Certificeringsmekanismer for databeskyttelse samt databeskyttelsesmærkninger eller -mærker, der er godkendt i henhold til denne artikels stk. 5, kan — ud over overholdelse af de dataansvarlige eller databehandlere, der er omfattet af denne forordning — fastlægges med det formål at påvise tilstedeværelse af fornødne garantier afgivet af dataansvarlige eller databehandlere, der i henhold til artikel 3 ikke er omfattet af denne forordning, inden for rammerne af overførsel af personoplysninger til tredjelande eller internationale organisationer, jf. artikel 46, stk. 2, litra f). Disse dataansvarlige eller databehandlere skal, gennem kontrakter eller andre retligt bindende instrumenter, afgive bindende tilsagn, som kan håndhæves, om at anvende disse fornødne garantier, herunder for så vidt angår registreredes rettigheder.

3.   Certificering skal være frivillig og tilgængelig gennem en gennemsigtig proces.

4.   Certificering i henhold til denne artikel indskrænker ikke den dataansvarliges eller databehandlerens ansvar for at overholde denne forordning og berører ikke opgaverne og beføjelserne for de tilsynsmyndigheder, der er kompetente i henhold til artikel 55 eller 56.

5.   Certificering i henhold til denne artikel udstedes af certificeringsorganer, jf. artikel 43, eller af den kompetente tilsynsmyndighed på grundlag af kriterier, der er godkendt af den pågældende kompetente tilsynsmyndighed i henhold til artikel 58, stk. 3, eller af Databeskyttelsesrådet i henhold til artikel 63. Hvis kriterierne er godkendt af Databeskyttelsesrådet, kan det føre til en fælles certificering, Den Europæiske Databeskyttelsesmærkning.

6.   Den dataansvarlige eller databehandler, der forelægger sin behandling for certificeringsmekanismen, giver det i artikel 43 omhandlede certificeringsorgan eller eventuelt den kompetente tilsynsmyndighed alle oplysninger og adgang til de behandlingsaktiviteter, der er nødvendige for at gennemføre certificeringsproceduren.

7.   Certificering udstedes til en dataansvarlig eller en databehandler for en periode på højst tre år og kan forlænges på de samme betingelser, så længe de relevante krav stadig er opfyldt. Certificering trækkes tilbage af certificeringsorganerne, jf. artikel 43, eller i givet fald den kompetente tilsynsmyndighed, hvis kravene til certificering ikke er eller ikke længere er opfyldt.

8.   Databeskyttelsesrådet samler alle certificeringsmekanismer og databeskyttelsesmærkninger og -mærker i et register og gør dem offentligt tilgængelige på passende vis.

Artikel 43

Certificeringsorganer

1.   Uden at dette berører den kompetente tilsynsmyndigheds opgaver og beføjelser i henhold til artikel 57 og 58, udsteder og forlænger certificeringsorganer, der har et passende ekspertiseniveau for så vidt angår databeskyttelse, certificering, efter at have underrettet tilsynsmyndigheden for at gøre det muligt for den at udøve sine beføjelser i henhold til artikel 58, stk. 2, litra h), hvis det er nødvendigt. Medlemsstaterne sikrer, at disse certificeringsorganer akkrediteres af en eller begge af følgende:

| a) | den tilsynsmyndighed, der er kompetent i henhold til artikel 55 eller 56 |
| --- | --- |

a)

den tilsynsmyndighed, der er kompetent i henhold til artikel 55 eller 56

| b) | det nationale akkrediteringsorgan, som er udpeget i overensstemmelse med Europa-Parlamentets og Rådets forordning (EF) nr. 765/2008 (20) i overensstemmelse med EN-ISO/IEC 17065/2012 og med de supplerende krav, der er fastsat af den tilsynsmyndighed, som er kompetent i henhold til artikel 55 eller 56. |
| --- | --- |

b)

det nationale akkrediteringsorgan, som er udpeget i overensstemmelse med Europa-Parlamentets og Rådets forordning (EF) nr. 765/2008 (20) i overensstemmelse med EN-ISO/IEC 17065/2012 og med de supplerende krav, der er fastsat af den tilsynsmyndighed, som er kompetent i henhold til artikel 55 eller 56.

2.   Certificeringsorganer som omhandlet i stk. 1 akkrediteres kun i overensstemmelse med nævnte stykke, hvis de har:

| a) | påvist deres uafhængighed og ekspertise med hensyn til certificeringens genstand til den kompetente tilsynsmyndigheds tilfredshed |
| --- | --- |

a)

påvist deres uafhængighed og ekspertise med hensyn til certificeringens genstand til den kompetente tilsynsmyndigheds tilfredshed

| b) | påtaget sig at opfylde kriterierne i artikel 42, stk. 5, og er blevet godkendt af den tilsynsmyndighed, der er kompetent i henhold til artikel 55 eller 56, eller af Databeskyttelsesrådet i henhold til artikel 63 |
| --- | --- |

b)

påtaget sig at opfylde kriterierne i artikel 42, stk. 5, og er blevet godkendt af den tilsynsmyndighed, der er kompetent i henhold til artikel 55 eller 56, eller af Databeskyttelsesrådet i henhold til artikel 63

| c) | fastlagt procedurer for udstedelse, regelmæssig revision og tilbagetrækning af databeskyttelsescertificeringer, -mærkninger og -mærker |
| --- | --- |

c)

fastlagt procedurer for udstedelse, regelmæssig revision og tilbagetrækning af databeskyttelsescertificeringer, -mærkninger og -mærker

| d) | fastlagt procedurer og ordninger for behandling af klager over overtrædelser af certificering eller den måde, hvorpå certificering er blevet eller bliver gennemført af en dataansvarlig eller en databehandler, og for, hvordan disse procedurer og ordninger gøres gennemsigtige for registrerede og offentligheden, og |
| --- | --- |

d)

fastlagt procedurer og ordninger for behandling af klager over overtrædelser af certificering eller den måde, hvorpå certificering er blevet eller bliver gennemført af en dataansvarlig eller en databehandler, og for, hvordan disse procedurer og ordninger gøres gennemsigtige for registrerede og offentligheden, og

| e) | vist til den kompetente tilsynsmyndigheds tilfredshed, at deres opgaver og pligter ikke fører til en interessekonflikt. |
| --- | --- |

e)

vist til den kompetente tilsynsmyndigheds tilfredshed, at deres opgaver og pligter ikke fører til en interessekonflikt.

3.   Akkreditering af de i denne artikels stk. 1 og 2 omhandlede certificeringsorganer finder sted på grundlag af kriterier, der er godkendt af den tilsynsmyndighed, som er kompetent i henhold til artikel 55 eller 56, eller af Databeskyttelsesrådet i henhold til artikel 63. I tilfælde af akkreditering i henhold til nærværende artikels stk. 1, litra b), supplerer disse krav kravene i forordning (EF) nr. 765/2008 og de tekniske regler, der beskriver certificeringsorganers metoder og procedurer.

4.   De i stk. 1 omhandlede certificeringsorganer er ansvarlige for en korrekt vurdering, der fører til certificering eller tilbagetrækning af certificering, uden at dette berører den dataansvarliges eller databehandlerens ansvar for at overholde denne forordning. Akkreditering udstedes for en periode på højst fem år og kan forlænges på samme betingelser, såfremt certificeringsorganet opfylder de i denne artikel fastsatte krav.

5.   De i stk. 1 omhandlede certificeringsorganer giver de kompetente tilsynsmyndigheder oplysninger om begrundelsen for at udstede eller tilbagetrække den certificering, der er anmodet om.

6.   Tilsynsmyndigheden offentliggør de i denne artikels stk. 3 omhandlede krav og de i artikel 42, stk. 5, omhandlede kriterier i lettilgængelig form. Tilsynsmyndighederne meddeler også disse krav og kriterier til Databeskyttelsesrådet. Databeskyttelsesrådet samler alle certificeringsmekanismer og databeskyttelsesmærkninger i et register og gør dem offentligt tilgængelige på passende vis.

7.   Uden at dette berører kapitel VIII, tilbagekalder den kompetente tilsynsmyndighed eller det nationale akkrediteringsorgan en akkreditering af et certificeringsorgan, jf. denne artikels stk. 1, hvis betingelserne for akkrediteringen ikke er eller ikke længere er opfyldt, eller hvis de foranstaltninger, som organet har truffet, overtræder denne forordning.

8.   Kommissionen tillægges beføjelse til at vedtage delegerede retsakter i overensstemmelse med artikel 92 med henblik på at fastlægge de krav, der skal tages i betragtning vedrørende de certificeringsmekanismer for databeskyttelse, der er omhandlet i artikel 42, stk. 1.

9.   Kommissionen kan vedtage gennemførelsesretsakter, der fastlægger tekniske standarder for certificeringsmekanismer og databeskyttelsesmærkninger og -mærker samt ordninger, der har til formål at fremme og anerkende disse certificeringsmekanismer, mærkninger og -mærker. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 93, stk. 2.

KAPITEL V

Overførsler af personoplysninger til tredjelande eller internationale organisationer

Artikel 44

Generelt princip for overførsler

Enhver overførsel af personoplysninger, som underkastes behandling eller planlægges behandlet efter overførsel til et tredjeland eller en international organisation, må kun finde sted, hvis betingelserne i dette kapitel med forbehold af de øvrige bestemmelser i denne forordning opfyldes af den dataansvarlige og databehandleren, herunder ved videreoverførsel af personoplysninger fra det pågældende tredjeland eller den pågældende internationale organisation til et andet tredjeland eller en anden international organisation. Alle bestemmelserne i dette kapitel anvendes for at sikre, at det beskyttelsesniveau, som fysiske personer garanteres i medfør af denne forordning, ikke undermineres.

Artikel 45

Overførsler baseret på en afgørelse om tilstrækkeligheden af beskyttelsesniveauet

1.   Overførsel af personoplysninger til et tredjeland eller en international organisation kan finde sted, hvis Kommissionen har fastslået, at tredjelandet, et område eller en eller flere specifikke sektorer i dette tredjeland, eller den pågældende internationale organisation har et tilstrækkeligt beskyttelsesniveau. En sådan overførsel kræver ikke specifik godkendelse.

2.   Ved vurdering af beskyttelsesniveauets tilstrækkelighed tager Kommissionen navnlig følgende elementer i betragtning:

| a) | retsstatsprincippet, respekt for menneskerettighederne og de grundlæggende frihedsrettigheder, relevant lovgivning, både generel og sektorbestemt, herunder vedrørende offentlig sikkerhed, forsvar, statens sikkerhed og strafferet og offentlige myndigheders adgang til personoplysninger, samt gennemførelsen af sådan lovgivning, databeskyttelsesregler, faglige regler og sikkerhedsforanstaltninger, herunder regler for videreoverførsel af personoplysninger til et andet tredjeland eller en anden international organisation, der gælder i dette land eller denne internationale organisation, retspraksis samt effektive rettigheder for registrerede, som kan håndhæves, og effektiv administrativ og retslig prøvelse for de registrerede, hvis personoplysninger overføres |
| --- | --- |

a)

retsstatsprincippet, respekt for menneskerettighederne og de grundlæggende frihedsrettigheder, relevant lovgivning, både generel og sektorbestemt, herunder vedrørende offentlig sikkerhed, forsvar, statens sikkerhed og strafferet og offentlige myndigheders adgang til personoplysninger, samt gennemførelsen af sådan lovgivning, databeskyttelsesregler, faglige regler og sikkerhedsforanstaltninger, herunder regler for videreoverførsel af personoplysninger til et andet tredjeland eller en anden international organisation, der gælder i dette land eller denne internationale organisation, retspraksis samt effektive rettigheder for registrerede, som kan håndhæves, og effektiv administrativ og retslig prøvelse for de registrerede, hvis personoplysninger overføres

| b) | tilstedeværelse af en eller flere velfungerende uafhængige tilsynsmyndigheder i tredjelandet, eller som den internationale organisation er underlagt, med ansvar for at sikre og håndhæve, at databeskyttelsesreglerne overholdes, herunder tilstrækkelige håndhævelsesbeføjelser, for at bistå og rådgive de registrerede, når de udøver deres rettigheder, og for samarbejde med tilsynsmyndighederne i medlemsstaterne, og |
| --- | --- |

b)

tilstedeværelse af en eller flere velfungerende uafhængige tilsynsmyndigheder i tredjelandet, eller som den internationale organisation er underlagt, med ansvar for at sikre og håndhæve, at databeskyttelsesreglerne overholdes, herunder tilstrækkelige håndhævelsesbeføjelser, for at bistå og rådgive de registrerede, når de udøver deres rettigheder, og for samarbejde med tilsynsmyndighederne i medlemsstaterne, og

| c) | de internationale forpligtelser, som tredjelandet eller den internationale organisation har påtaget sig, eller andre forpligtelser, der følger af retligt bindende konventioner eller instrumenter og af landets eller organisationens deltagelse i multilaterale eller regionale systemer, navnlig vedrørende beskyttelse af personoplysninger. |
| --- | --- |

c)

de internationale forpligtelser, som tredjelandet eller den internationale organisation har påtaget sig, eller andre forpligtelser, der følger af retligt bindende konventioner eller instrumenter og af landets eller organisationens deltagelse i multilaterale eller regionale systemer, navnlig vedrørende beskyttelse af personoplysninger.

3.   Kommissionen kan efter vurdering af beskyttelsesniveauets tilstrækkelighed ved hjælp af en gennemførelsesretsakt fastslå, at et tredjeland, et område eller en eller flere specifikke sektorer i et tredjeland, eller en international organisation sikrer et tilstrækkeligt beskyttelsesniveau i overensstemmelse med denne artikels stk. 2. I den pågældende gennemførelsesretsakt fastsættes en mekanisme for regelmæssig revision, som foretages mindst hvert fjerde år, og som inddrager enhver relevant udvikling i tredjelandet eller den internationale organisation. I gennemførelsesretsakten angives dennes territoriale og sektorbestemte anvendelsesområde og i påkommende tilfælde den eller de tilsynsmyndigheder, der er omhandlet i denne artikels stk. 2, litra b). Gennemførelsesretsakten vedtages efter undersøgelsesproceduren i artikel 93, stk. 2.

4.   Kommissionen overvåger løbende udvikling i tredjelande og internationale organisationer, der kan påvirke virkningen af afgørelser, der er vedtaget i henhold til denne artikels stk. 3, og afgørelser og beslutninger, der er vedtaget på grundlag af artikel 25, stk. 6, i direktiv 95/46/EF.

5.   Kommissionen ophæver, ændrer eller suspenderer i det omfang, det er nødvendigt, uden tilbagevirkende kraft afgørelsen omhandlet i denne artikels stk. 3 ved hjælp af gennemførelsesretsakter, hvis tilgængelige oplysninger, navnlig efter den i denne artikels stk. 3 omhandlede revision, viser, at et tredjeland, et område eller en eller flere specifikke sektorer i et tredjeland, eller en international organisation ikke længere sikrer et tilstrækkeligt beskyttelsesniveau i overensstemmelse med denne artikels stk. 2. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 93, stk. 2.

I behørigt begrundede særligt hastende tilfælde vedtager Kommissionen efter proceduren i artikel 93, stk. 3, gennemførelsesretsakter, der finder anvendelse straks.

6.   Kommissionen fører konsultationer med tredjelandet eller den internationale organisation med henblik på at afhjælpe den situation, der har givet anledning til en afgørelse vedtaget i henhold til stk. 5.

7.   En afgørelse som angivet i denne artikels stk. 5 berører ikke overførsel af personoplysninger til det pågældende tredjeland, et område eller en eller flere specifikke sektorer i dette tredjeland, eller den pågældende internationale organisation i medfør af artikel 46-49.

8.   Kommissionen offentliggør i Den Europæiske Unions Tidende og på sit websted en liste over tredjelande, områder og specifikke sektorer i tredjelande samt internationale organisationer, som den har fastslået sikrer eller ikke længere sikrer et tilstrækkeligt beskyttelsesniveau.

9.   Afgørelser og beslutninger, der er vedtaget af Kommissionen på grundlag af artikel 25, stk. 6, i direktiv 95/46/EF, gælder fortsat, indtil de ændres, erstattes eller ophæves ved en kommissionsafgørelse, der vedtages i henhold til nærværende artikels stk. 3 eller 5.

Artikel 46

Overførsler omfattet af fornødne garantier

1.   Hvis der ikke er vedtaget en afgørelse i henhold til artikel 45, stk. 3, må en dataansvarlig eller databehandler kun overføre personoplysninger til et tredjeland eller en international organisation, hvis vedkommende har givet de fornødne garantier, og på betingelse af at rettigheder, som kan håndhæves, og effektive retsmidler for registrerede er tilgængelige.

2.   De fornødne garantier i stk. 1 kan uden krav om specifik godkendelse fra en tilsynsmyndighed sikres gennem:

| a) | et retligt bindende instrument, som kan håndhæves, mellem offentlige myndigheder eller organer |
| --- | --- |

a)

et retligt bindende instrument, som kan håndhæves, mellem offentlige myndigheder eller organer

| b) | bindende virksomhedsregler i overensstemmelse med artikel 47 |
| --- | --- |

b)

bindende virksomhedsregler i overensstemmelse med artikel 47

| c) | standardbestemmelser om databeskyttelse vedtaget af Kommissionen efter undersøgelsesproceduren i artikel 93, stk. 2 |
| --- | --- |

c)

standardbestemmelser om databeskyttelse vedtaget af Kommissionen efter undersøgelsesproceduren i artikel 93, stk. 2

| d) | standardbestemmelser om databeskyttelse vedtaget af en tilsynsmyndighed og godkendt af Kommissionen efter undersøgelsesproceduren i artikel 93, stk. 2 |
| --- | --- |

d)

standardbestemmelser om databeskyttelse vedtaget af en tilsynsmyndighed og godkendt af Kommissionen efter undersøgelsesproceduren i artikel 93, stk. 2

| e) | en godkendt adfærdskodeks i medfør af artikel 40 sammen med bindende tilsagn, som kan håndhæves, fra den dataansvarlige eller databehandleren i tredjelandet om at anvende de fornødne garantier, herunder vedrørende registreredes rettigheder, eller |
| --- | --- |

e)

en godkendt adfærdskodeks i medfør af artikel 40 sammen med bindende tilsagn, som kan håndhæves, fra den dataansvarlige eller databehandleren i tredjelandet om at anvende de fornødne garantier, herunder vedrørende registreredes rettigheder, eller

| f) | en godkendt certificeringsmekanisme i medfør af artikel 42 sammen med bindende tilsagn, som kan håndhæves, fra den dataansvarlige eller databehandleren i tredjelandet om at anvende de fornødne garantier, herunder vedrørende registreredes rettigheder. |
| --- | --- |

f)

en godkendt certificeringsmekanisme i medfør af artikel 42 sammen med bindende tilsagn, som kan håndhæves, fra den dataansvarlige eller databehandleren i tredjelandet om at anvende de fornødne garantier, herunder vedrørende registreredes rettigheder.

3.   Med forbehold af godkendelse fra den kompetente tilsynsmyndighed kan de fornødne garantier i stk. 1 også sikres gennem navnlig:

| a) | kontraktbestemmelser mellem den dataansvarlige eller databehandleren og den dataansvarlige, databehandleren eller modtageren af personoplysninger i tredjelandet eller den internationale organisation, eller |
| --- | --- |

a)

kontraktbestemmelser mellem den dataansvarlige eller databehandleren og den dataansvarlige, databehandleren eller modtageren af personoplysninger i tredjelandet eller den internationale organisation, eller

| b) | bestemmelser, der medtages i administrative ordninger mellem offentlige myndigheder eller organer, og som omfatter effektive rettigheder, som kan håndhæves, for registrerede. |
| --- | --- |

b)

bestemmelser, der medtages i administrative ordninger mellem offentlige myndigheder eller organer, og som omfatter effektive rettigheder, som kan håndhæves, for registrerede.

4.   Tilsynsmyndigheden anvender den sammenhængsmekanisme, der er omhandlet i artikel 63, i de tilfælde, der er omhandlet i nærværende artikels stk. 3.

5.   Godkendelser fra en medlemsstat eller en tilsynsmyndighed på grundlag af artikel 26, stk. 2, i direktiv 95/46/EF er gyldige, indtil de om nødvendigt ændres, erstattes eller ophæves af den pågældende tilsynsmyndighed. Afgørelser og beslutninger, der er vedtaget af Kommissionen på grundlag af artikel 26, stk. 4, i direktiv 95/46/EF, er i kraft, indtil de om nødvendigt ændres, erstattes eller ophæves ved en kommissionsafgørelse, der vedtages i henhold til nærværende artikels stk. 2.

Artikel 47

Bindende virksomhedsregler

1.   I overensstemmelse med den sammenhængsmekanisme, der er omhandlet i artikel 63, godkender den kompetente tilsynsmyndighed bindende virksomhedsregler, såfremt de:

| a) | er retligt bindende og gælder for og håndhæves af alle berørte medlemmer i den koncern eller gruppe af foretagender, der udøver en fælles økonomisk aktivitet, herunder deres medarbejdere |
| --- | --- |

a)

er retligt bindende og gælder for og håndhæves af alle berørte medlemmer i den koncern eller gruppe af foretagender, der udøver en fælles økonomisk aktivitet, herunder deres medarbejdere

| b) | udtrykkeligt tillægger registrerede rettigheder, som kan håndhæves, for så vidt angår behandling af deres personoplysninger, og |
| --- | --- |

b)

udtrykkeligt tillægger registrerede rettigheder, som kan håndhæves, for så vidt angår behandling af deres personoplysninger, og

| c) | opfylder kravene i stk. 2. |
| --- | --- |

c)

opfylder kravene i stk. 2.

2.   De bindende virksomhedsregler i stk. 1 skal mindst angive:

| a) | strukturen i og kontaktoplysningerne for den koncern eller gruppe af foretagender, der er udøver en fælles økonomisk aktivitet, og hvert af dens medlemmer |
| --- | --- |

a)

strukturen i og kontaktoplysningerne for den koncern eller gruppe af foretagender, der er udøver en fælles økonomisk aktivitet, og hvert af dens medlemmer

| b) | overførslerne eller rækken af overførsler af oplysninger, herunder kategorier af personoplysninger, behandlingstype og -formål, typen af berørte registrerede og angivelse af det pågældende tredjeland eller de pågældende tredjelande |
| --- | --- |

b)

overførslerne eller rækken af overførsler af oplysninger, herunder kategorier af personoplysninger, behandlingstype og -formål, typen af berørte registrerede og angivelse af det pågældende tredjeland eller de pågældende tredjelande

| c) | deres retligt bindende karakter, både internt og eksternt |
| --- | --- |

c)

deres retligt bindende karakter, både internt og eksternt

| d) | anvendelsen af de generelle databeskyttelsesprincipper, navnlig formålsbegrænsning, dataminimering, begrænsede opbevaringsperioder, datakvalitet, databeskyttelse gennem design og databeskyttelse gennem standardindstillinger, retsgrundlag for behandling, behandling af særlige kategorier af personoplysninger, foranstaltninger til at sikre datasikkerhed og krav til videreoverførsel til organer, der ikke er underlagt de bindende virksomhedsregler |
| --- | --- |

d)

anvendelsen af de generelle databeskyttelsesprincipper, navnlig formålsbegrænsning, dataminimering, begrænsede opbevaringsperioder, datakvalitet, databeskyttelse gennem design og databeskyttelse gennem standardindstillinger, retsgrundlag for behandling, behandling af særlige kategorier af personoplysninger, foranstaltninger til at sikre datasikkerhed og krav til videreoverførsel til organer, der ikke er underlagt de bindende virksomhedsregler

| e) | de registreredes rettigheder med hensyn til behandling og midler til at udøve disse rettigheder, herunder til ikke at blive gjort til genstand for afgørelser, som alene er truffet på grundlag af automatisk behandling, herunder profilering, jf. artikel 22, samt retten til at indgive klage til den kompetente tilsynsmyndighed og de kompetente domstole i medlemsstaterne, jf. artikel 79, og til at modtage godtgørelse og, hvis det er relevant, erstatning for brud på de bindende virksomhedsregler |
| --- | --- |

e)

de registreredes rettigheder med hensyn til behandling og midler til at udøve disse rettigheder, herunder til ikke at blive gjort til genstand for afgørelser, som alene er truffet på grundlag af automatisk behandling, herunder profilering, jf. artikel 22, samt retten til at indgive klage til den kompetente tilsynsmyndighed og de kompetente domstole i medlemsstaterne, jf. artikel 79, og til at modtage godtgørelse og, hvis det er relevant, erstatning for brud på de bindende virksomhedsregler

| f) | den dataansvarliges eller databehandlerens accept af ansvaret for ethvert brud på de bindende virksomhedsregler, der begås af en berørt virksomhed i koncernen, som ikke er etableret i Unionen, når den dataansvarlige eller databehandleren er etableret inden for en medlemsstats område; den dataansvarlige eller databehandleren fritages kun helt eller delvis for dette ansvar, hvis vedkommende beviser, at den pågældende virksomhed ikke er skyld i den begivenhed, der medførte skaden |
| --- | --- |

f)

den dataansvarliges eller databehandlerens accept af ansvaret for ethvert brud på de bindende virksomhedsregler, der begås af en berørt virksomhed i koncernen, som ikke er etableret i Unionen, når den dataansvarlige eller databehandleren er etableret inden for en medlemsstats område; den dataansvarlige eller databehandleren fritages kun helt eller delvis for dette ansvar, hvis vedkommende beviser, at den pågældende virksomhed ikke er skyld i den begivenhed, der medførte skaden

| g) | hvordan informationen om bindende virksomhedsregler, navnlig de bestemmelser, der er omhandlet i litra d), e) og f), gives til de registrerede ud over den information, der er omhandlet i artikel 13 og 14 |
| --- | --- |

g)

hvordan informationen om bindende virksomhedsregler, navnlig de bestemmelser, der er omhandlet i litra d), e) og f), gives til de registrerede ud over den information, der er omhandlet i artikel 13 og 14

| h) | opgaverne for enhver databeskyttelsesrådgiver, der er udpeget i henhold til artikel 37, eller enhver anden person eller enhed med ansvar for overvågning af overholdelse af de bindende virksomhedsregler inden for koncernen eller gruppen af foretagender, der udøver en fælles økonomisk aktivitet, samt overvågning af uddannelse og håndtering af klager |
| --- | --- |

h)

opgaverne for enhver databeskyttelsesrådgiver, der er udpeget i henhold til artikel 37, eller enhver anden person eller enhed med ansvar for overvågning af overholdelse af de bindende virksomhedsregler inden for koncernen eller gruppen af foretagender, der udøver en fælles økonomisk aktivitet, samt overvågning af uddannelse og håndtering af klager

| i) | klageprocedurerne |
| --- | --- |

i)

klageprocedurerne

| j) | de mekanismer i koncernen eller gruppen af foretagender, der udøver en fælles økonomisk aktivitet, som skal sikre kontrol af overholdelse af de bindende virksomhedsregler. Sådanne mekanismer skal omfatte databeskyttelsesrevisioner og metoder til at sikre korrigerende foranstaltninger med henblik på at beskytte de registreredes rettigheder. Resultaterne af denne revision bør meddeles den person eller enhed, der er omhandlet i litra h), og bestyrelsen i kontrolvirksomheden i en koncern eller i gruppen af foretagender, der udøver en fælles økonomisk aktivitet, og bør være tilgængelige på anmodning af den kompetente tilsynsmyndighed |
| --- | --- |

j)

de mekanismer i koncernen eller gruppen af foretagender, der udøver en fælles økonomisk aktivitet, som skal sikre kontrol af overholdelse af de bindende virksomhedsregler. Sådanne mekanismer skal omfatte databeskyttelsesrevisioner og metoder til at sikre korrigerende foranstaltninger med henblik på at beskytte de registreredes rettigheder. Resultaterne af denne revision bør meddeles den person eller enhed, der er omhandlet i litra h), og bestyrelsen i kontrolvirksomheden i en koncern eller i gruppen af foretagender, der udøver en fælles økonomisk aktivitet, og bør være tilgængelige på anmodning af den kompetente tilsynsmyndighed

| k) | mekanismerne til indberetning og registrering af ændringer af reglerne og indberetning af disse ændringer til tilsynsmyndigheden |
| --- | --- |

k)

mekanismerne til indberetning og registrering af ændringer af reglerne og indberetning af disse ændringer til tilsynsmyndigheden

| l) | den mekanisme til samarbejde med tilsynsmyndigheden, som har til formål at sikre, at alle virksomheder i koncernen eller gruppen af foretagender, der udøver en fælles økonomisk aktivitet, overholder reglerne, navnlig ved at forelægge tilsynsmyndigheden resultaterne af revisionen af de foranstaltninger, der er omhandlet i litra j) |
| --- | --- |

l)

den mekanisme til samarbejde med tilsynsmyndigheden, som har til formål at sikre, at alle virksomheder i koncernen eller gruppen af foretagender, der udøver en fælles økonomisk aktivitet, overholder reglerne, navnlig ved at forelægge tilsynsmyndigheden resultaterne af revisionen af de foranstaltninger, der er omhandlet i litra j)

| m) | mekanismerne til indberetning til den kompetente tilsynsmyndighed af retlige forpligtelser, som en virksomhed i koncernen eller gruppen af foretagender, der udøver en fælles økonomisk aktivitet, er omfattet af i et tredjeland, og som sandsynligvis vil have betydelig negativ indvirkning på garantierne i de bindende virksomhedsregler, og |
| --- | --- |

m)

mekanismerne til indberetning til den kompetente tilsynsmyndighed af retlige forpligtelser, som en virksomhed i koncernen eller gruppen af foretagender, der udøver en fælles økonomisk aktivitet, er omfattet af i et tredjeland, og som sandsynligvis vil have betydelig negativ indvirkning på garantierne i de bindende virksomhedsregler, og

| n) | den passende databeskyttelsesuddannelse, som personale, der har permanent eller regelmæssig adgang til personoplysninger, skal følge. |
| --- | --- |

n)

den passende databeskyttelsesuddannelse, som personale, der har permanent eller regelmæssig adgang til personoplysninger, skal følge.

3.   Kommissionen kan angive formatet og procedurerne for udveksling af oplysninger mellem dataansvarlige, databehandlere og tilsynsmyndigheder for bindende virksomhedsregler som omhandlet i denne artikel. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 93, stk. 2.

Artikel 48

Overførsel eller videregivelse uden hjemmel i EU-retten

Enhver dom afsagt af en domstol eller ret og enhver afgørelse truffet af en administrativ myndighed i et tredjeland, der kræver, at en dataansvarlig eller en databehandler overfører eller videregiver personoplysninger, kan kun anerkendes eller håndhæves på nogen måde, hvis den bygger på en international aftale, såsom en traktat om gensidig retshjælp mellem det anmodende tredjeland og Unionen eller en medlemsstat, uden at det berører andre grunde til overførsel i henhold til dette kapitel.

Artikel 49

Undtagelser i særlige situationer

1.   I mangel af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet i henhold til artikel 45, stk. 3, eller fornødne garantier i henhold til artikel 46, herunder bindende virksomhedsregler, må en overførsel eller flere overførsler af personoplysninger til et tredjeland eller en international organisation kun finde sted på en af følgende betingelser:

| a) | den registrerede udtrykkelig har givet samtykke til den foreslåede overførsel efter at være blevet informeret om de mulige risici, som sådanne overførsler kan medføre for den registrerede på grund af den manglende afgørelse om tilstrækkeligheden af beskyttelsesniveauet eller fornødne garantier |
| --- | --- |

a)

den registrerede udtrykkelig har givet samtykke til den foreslåede overførsel efter at være blevet informeret om de mulige risici, som sådanne overførsler kan medføre for den registrerede på grund af den manglende afgørelse om tilstrækkeligheden af beskyttelsesniveauet eller fornødne garantier

| b) | overførslen er nødvendig af hensyn til opfyldelse af en kontrakt mellem den registrerede og den dataansvarlige eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelsen af en sådan kontrakt |
| --- | --- |

b)

overførslen er nødvendig af hensyn til opfyldelse af en kontrakt mellem den registrerede og den dataansvarlige eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelsen af en sådan kontrakt

| c) | overførslen er nødvendig af hensyn til indgåelse eller opfyldelse af en kontrakt, der i den registreredes interesse indgås mellem den dataansvarlige og en anden fysisk eller juridisk person |
| --- | --- |

c)

overførslen er nødvendig af hensyn til indgåelse eller opfyldelse af en kontrakt, der i den registreredes interesse indgås mellem den dataansvarlige og en anden fysisk eller juridisk person

| d) | overførslen er nødvendig af hensyn til vigtige samfundsinteresser |
| --- | --- |

d)

overførslen er nødvendig af hensyn til vigtige samfundsinteresser

| e) | overførslen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares |
| --- | --- |

e)

overførslen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares

| f) | overførslen er nødvendig for at beskytte den registreredes eller andre personers vitale interesser, hvis den registrerede ikke fysisk eller juridisk er i stand til at give samtykke |
| --- | --- |

f)

overførslen er nødvendig for at beskytte den registreredes eller andre personers vitale interesser, hvis den registrerede ikke fysisk eller juridisk er i stand til at give samtykke

| g) | overførslen finder sted fra et register, der ifølge EU-ret eller medlemsstaternes nationale ret er beregnet til at informere offentligheden, og som er tilgængeligt for offentligheden generelt eller for personer, der kan godtgøre at have en legitim interesse heri, men kun i det omfang de ved EU-ret eller medlemsstaternes nationale ret fastsatte betingelser for offentlig tilgængelighed er opfyldt i det specifikke tilfælde |
| --- | --- |

g)

overførslen finder sted fra et register, der ifølge EU-ret eller medlemsstaternes nationale ret er beregnet til at informere offentligheden, og som er tilgængeligt for offentligheden generelt eller for personer, der kan godtgøre at have en legitim interesse heri, men kun i det omfang de ved EU-ret eller medlemsstaternes nationale ret fastsatte betingelser for offentlig tilgængelighed er opfyldt i det specifikke tilfælde

Hvis overførsel ikke kan have hjemmel i en bestemmelse i artikel 45 eller 46, herunder bestemmelserne om bindende virksomhedsregler, og ingen af undtagelserne i særlige situationer omhandlet i dette stykkes første afsnit finder anvendelse, må en videregivelse til et tredjeland eller en international organisation kun finde sted, hvis overførslen ikke gentages, kun vedrører et begrænset antal registrerede, er nødvendig af hensyn til vægtige legitime interesser, som forfølges af den dataansvarlige, den registreredes interesser eller rettigheder og frihedsrettigheder ikke går forud for disse interesser, og den dataansvarlige har vurderet alle omstændigheder i forbindelse med overførslen og på grundlag af denne vurdering giver passende garantier for beskyttelse af personoplysningerne. Den dataansvarlige underretter tilsynsmyndigheden om overførslen. Ud over oplysningerne i artikel 13 og 14 underretter den dataansvarlige den registrerede om overførslen og om de vægtige legitime interesser, der forfølges.

2.   En overførsel i henhold til stk. 1, første afsnit, litra g), må ikke omfatte alle personoplysninger eller hele kategorier af personoplysninger i et register. Når et register er beregnet til at blive konsulteret af personer, der har en legitim interesse heri, må overførsel kun ske på anmodning af disse personer, eller hvis de skal være modtagerne.

3.   Stk. 1, første afsnit, litra a), b) og c), og stk. 1, andet afsnit, finder ikke anvendelse på aktiviteter, der gennemføres af offentlige myndigheder som led udøvelsen af deres offentligretlige beføjelser.

4.   De samfundsinteresser, der er omhandlet i stk. 1, første afsnit, litra d), skal være anerkendt i EU-retten eller retten i den medlemsstat, som den dataansvarlige er underlagt.

5.   Hvis der ikke er vedtaget en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, kan EU-retten eller medlemsstaternes nationale ret af hensyn til vigtige samfundsinteresser udtrykkelig fastsætte grænser for overførsel af særlige kategorier af oplysninger til et tredjeland eller en international organisation. Medlemsstaterne giver Kommissionen meddelelse om disse bestemmelser.

6.   Den dataansvarlige eller databehandleren dokumenterer vurderingen og de passende garantier i denne artikels stk. 1, andet afsnit, i de fortegnelser, der er omhandlet i artikel 30.

Artikel 50

Internationalt samarbejde om beskyttelse af personoplysninger

Kommissionen og tilsynsmyndighederne træffer i forhold til tredjelande og internationale organisationer de nødvendige foranstaltninger til at:

| a) | udvikle internationale samarbejdsmekanismer med henblik på at lette effektiv håndhævelse af lovgivningen om beskyttelse af personoplysninger |
| --- | --- |

a)

udvikle internationale samarbejdsmekanismer med henblik på at lette effektiv håndhævelse af lovgivningen om beskyttelse af personoplysninger

| b) | yde international gensidig bistand i håndhævelse af lovgivningen om beskyttelse af personoplysninger, herunder gennem anmeldelse, indbringelse af klager, efterforskningsbistand og informationsudveksling, under iagttagelse af de fornødne garantier for beskyttelse af personoplysninger og andre grundlæggende rettigheder og frihedsrettigheder |
| --- | --- |

b)

yde international gensidig bistand i håndhævelse af lovgivningen om beskyttelse af personoplysninger, herunder gennem anmeldelse, indbringelse af klager, efterforskningsbistand og informationsudveksling, under iagttagelse af de fornødne garantier for beskyttelse af personoplysninger og andre grundlæggende rettigheder og frihedsrettigheder

| c) | inddrage relevante interessenter i drøftelser og aktiviteter, der har til formål at fremme det internationale samarbejde om håndhævelse af lovgivningen om beskyttelse af personoplysninger |
| --- | --- |

c)

inddrage relevante interessenter i drøftelser og aktiviteter, der har til formål at fremme det internationale samarbejde om håndhævelse af lovgivningen om beskyttelse af personoplysninger

| d) | fremme udveksling og dokumentation af lovgivning om beskyttelse af personoplysninger og praksis på området, herunder om kompetencekonflikter med tredjelande. |
| --- | --- |

d)

fremme udveksling og dokumentation af lovgivning om beskyttelse af personoplysninger og praksis på området, herunder om kompetencekonflikter med tredjelande.

KAPITEL VI

Uafhængige tilsynsmyndigheder

Afdeling 1

Uafhængig status

Artikel 51

Tilsynsmyndighed

1.   Hver medlemsstat sikrer, at en eller flere uafhængige offentlige myndigheder er ansvarlige for at føre tilsyn med anvendelsen af denne forordning, for at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling og for at lette fri udveksling af personoplysninger i Unionen (»tilsynsmyndighed«).

2.   Hver enkelt tilsynsmyndighed bidrager til ensartet anvendelse af denne forordning i hele Unionen. Til dette formål samarbejder tilsynsmyndighederne med hinanden og med Kommissionen i henhold til kapitel VII.

3.   Hvis der er mere end én tilsynsmyndighed i en medlemsstat, udpeger den pågældende medlemsstat en tilsynsmyndighed, der skal repræsentere disse myndigheder i Databeskyttelsesrådet, og fastsætter en mekanisme, som sikrer, at de andre myndigheder overholder reglerne vedrørende den sammenhængsmekanisme, der er omhandlet i artikel 63.

4.   Hver medlemsstat giver senest den 25. maj 2018 Kommissionen meddelelse om de bestemmelser, som den vedtager i henhold til dette kapitel, og underretter den straks om alle senere ændringer, der berører dem.

Artikel 52

Uafhængighed

1.   Hver tilsynsmyndighed udfører sine opgaver og udøver sine beføjelser i henhold til denne forordning i fuld uafhængighed.

2.   Medlemmet eller medlemmerne af hver tilsynsmyndighed skal i forbindelse med udførelsen af deres opgaver og udøvelsen af deres beføjelser i henhold til denne forordning være frie for udefrakommende indflydelse, det være sig direkte eller indirekte, og må hverken søge eller modtage instrukser fra andre.

3.   Et medlem eller medlemmer af den enkelte tilsynsmyndighed skal afholde sig fra enhver handling, der er uforenelig med deres hverv, og må ikke, så længe deres embedsperiode varer, udøve uforenelig lønnet eller ulønnet virksomhed.

4.   Hver medlemsstat sikrer, at den enkelte tilsynsmyndighed råder over de nødvendige menneskelige, tekniske og finansielle ressourcer samt lokaler og infrastruktur til effektivt at kunne udføre sine opgaver og udøve sine beføjelser, herunder opgaver og beføjelser vedrørende gensidig bistand samt samarbejde med og deltagelse i Databeskyttelsesrådet.

5.   Hver medlemsstat sikrer, at den enkelte tilsynsmyndighed vælger og råder over sit eget personale, der alene er under ledelse af medlemmet eller medlemmerne af den pågældende tilsynsmyndighed.

6.   Hver medlemsstat sikrer, at den enkelte tilsynsmyndighed er underlagt finansiel kontrol, som ikke påvirker dens uafhængighed, og at den fører særskilte, offentlige årsbudgetter, der kan være en del af det samlede statsbudget eller nationale budget.

Artikel 53

Generelle betingelser for medlemmer af en tilsynsmyndighed

1.   Medlemsstaterne sikrer, at hvert medlem af en tilsynsmyndighed udnævnes efter en gennemsigtig procedure af:

| — | deres parlament |
| --- | --- |

—

deres parlament

| — | deres regering |
| --- | --- |

—

deres regering

| — | deres statschef, eller |
| --- | --- |

—

deres statschef, eller

| — | et uafhængigt organ, der i henhold til medlemsstaternes nationale ret har fået overdraget ansvaret for udnævnelsen. |
| --- | --- |

—

et uafhængigt organ, der i henhold til medlemsstaternes nationale ret har fået overdraget ansvaret for udnævnelsen.

2.   Hvert medlem skal have de kvalifikationer, den erfaring og den kompetence, navnlig på området beskyttelse af personoplysninger, der er nødvendige for at varetage dets hverv og udøve dets beføjelser.

3.   Et medlems hverv ophører ved udløbet af embedsperioden, ved frivillig fratrædelse eller ved obligatorisk fratrædelse i overensstemmelse med den pågældende medlemsstats nationale ret.

4.   Et medlem må kun afskediges i tilfælde af alvorligt embedsmisbrug, eller hvis medlemmet ikke længere opfylder betingelserne for at varetage sit hverv.

Artikel 54

Regler om oprettelse af en tilsynsmyndighed

1.   Hver medlemsstat fastsætter ved lov alle af følgende:

| a) | den enkelte tilsynsmyndigheds oprettelse |
| --- | --- |

a)

den enkelte tilsynsmyndigheds oprettelse

| b) | de nødvendige kvalifikationer og udvælgelseskriterier, der skal være opfyldt for at kunne blive udnævnt til medlem af den enkelte tilsynsmyndighed |
| --- | --- |

b)

de nødvendige kvalifikationer og udvælgelseskriterier, der skal være opfyldt for at kunne blive udnævnt til medlem af den enkelte tilsynsmyndighed

| c) | reglerne og procedurerne for udnævnelse af medlemmet eller medlemmerne af den enkelte tilsynsmyndighed |
| --- | --- |

c)

reglerne og procedurerne for udnævnelse af medlemmet eller medlemmerne af den enkelte tilsynsmyndighed

| d) | embedsperioden for medlemmet eller medlemmerne af den enkelte tilsynsmyndighed på mindst fire år, med undtagelse af den første udnævnelse efter den 24. maj 2016, som kan være af kortere varighed, hvis det er nødvendigt for at beskytte den pågældende tilsynsmyndigheds uafhængighed ved hjælp af en forskudt udnævnelsesprocedure |
| --- | --- |

d)

embedsperioden for medlemmet eller medlemmerne af den enkelte tilsynsmyndighed på mindst fire år, med undtagelse af den første udnævnelse efter den 24. maj 2016, som kan være af kortere varighed, hvis det er nødvendigt for at beskytte den pågældende tilsynsmyndigheds uafhængighed ved hjælp af en forskudt udnævnelsesprocedure

| e) | om og i bekræftende fald for hvor mange embedsperioder medlemmet eller medlemmerne af den enkelte tilsynsmyndighed kan genudnævnes |
| --- | --- |

e)

om og i bekræftende fald for hvor mange embedsperioder medlemmet eller medlemmerne af den enkelte tilsynsmyndighed kan genudnævnes

| f) | betingelserne vedrørende forpligtelser for den enkelte tilsynsmyndigheds medlem eller medlemmer og personale, forbud mod handlinger, hverv og fordele, der er uforenelige hermed, under og efter embedsperioden, og regler for arbejdsophør. |
| --- | --- |

f)

betingelserne vedrørende forpligtelser for den enkelte tilsynsmyndigheds medlem eller medlemmer og personale, forbud mod handlinger, hverv og fordele, der er uforenelige hermed, under og efter embedsperioden, og regler for arbejdsophør.

2.   Den enkelte tilsynsmyndigheds medlem eller medlemmer og personale har i overensstemmelse med EU-retten eller medlemsstaternes nationale ret såvel under som efter deres embedsperiode tavshedspligt for så vidt angår alle fortrolige oplysninger, der er kommet til deres kendskab under udførelsen af deres opgaver eller udøvelsen af deres beføjelser. I deres embedsperiode gælder denne tavshedspligt især indberetninger fra fysiske personer af overtrædelser af denne forordning.

Afdeling 2

Kompetence, opgaver og beføjelser

Artikel 55

Kompetence

1.   Hver tilsynsmyndighed er kompetent til at udføre de opgaver og udøve de beføjelser, der tillægges den i overensstemmelse med denne forordning, på sin egen medlemsstats område.

2.   Hvis behandling foretages af offentlige myndigheder eller af private organer, der handler på grundlag af artikel 6, stk. 1, litra c) eller e), er tilsynsmyndigheden i den pågældende medlemsstat kompetent. I så fald finder artikel 56 ikke anvendelse.

3.   Tilsynsmyndigheder er ikke kompetente til at føre tilsyn med domstoles behandlingsaktiviteter, når disse handler i deres egenskab af domstol.

Artikel 56

Den ledende tilsynsmyndigheds kompetence

1.   Uden at det berører artikel 55 er tilsynsmyndigheden for den dataansvarliges eller databehandlerens hovedvirksomhed eller eneste etablering kompetent til at fungere som ledende tilsynsmyndighed for den grænseoverskridende behandling, der foretages af denne dataansvarlige eller databehandler efter proceduren i artikel 60.

2.   Uanset stk. 1 er hver tilsynsmyndighed kompetent til at behandle en indgivet klage eller en eventuel overtrædelse af denne forordning, hvis genstanden alene vedrører en etablering i dens medlemsstat eller alene i væsentlig grad påvirker registrerede i dens medlemsstat.

3.   I de i denne artikels stk. 2 omhandlede tilfælde underretter tilsynsmyndigheden straks den ledende tilsynsmyndighed om dette forhold. Den ledende tilsynsmyndighed beslutter inden for en frist på tre uger efter at være blevet underrettet, om den vil behandle sagen efter proceduren i artikel 60 under hensyntagen til, hvorvidt den dataansvarlige eller databehandleren er etableret i den underrettende tilsynsmyndigheds medlemsstat

4.   Hvis den ledende tilsynsmyndighed beslutter at behandle sagen, finder proceduren i artikel 60 anvendelse. Den tilsynsmyndighed, der underrettede den ledende tilsynsmyndighed, kan forelægge den ledende tilsynsmyndighed et udkast til afgørelse. Den ledende tilsynsmyndighed tager størst muligt hensyn til dette udkast, når den udarbejder udkastet til afgørelse, jf. artikel 60, stk. 3.

5.   Beslutter den ledende tilsynsmyndighed ikke at behandle sagen, behandler den tilsynsmyndighed, der forelagde sagen for den ledende tilsynsmyndighed, sagen i overensstemmelse med artikel 61 og 62.

6.   Den ledende tilsynsmyndighed er den dataansvarliges eller databehandlerens eneste kontakt i forbindelse med den grænseoverskridende behandling, der foretages af denne dataansvarlige eller databehandler.

Artikel 57

Opgaver

1.   Uden at dette berører andre opgaver, der er fastsat i denne forordning, skal hver tilsynsmyndighed på sit område:

| a) | føre tilsyn med og håndhæve anvendelsen af denne forordning |
| --- | --- |

a)

føre tilsyn med og håndhæve anvendelsen af denne forordning

| b) | fremme offentlighedens kendskab til og forståelse af risici, regler, garantier og rettigheder i forbindelse med behandling Der skal sættes særlig fokus på aktiviteter, der er direkte rettet mod børn |
| --- | --- |

b)

fremme offentlighedens kendskab til og forståelse af risici, regler, garantier og rettigheder i forbindelse med behandling Der skal sættes særlig fokus på aktiviteter, der er direkte rettet mod børn

| c) | i henhold til medlemsstaternes nationale ret rådgive det nationale parlament, regeringen og andre institutioner og organer om lovgivningsmæssige og administrative foranstaltninger til beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling |
| --- | --- |

c)

i henhold til medlemsstaternes nationale ret rådgive det nationale parlament, regeringen og andre institutioner og organer om lovgivningsmæssige og administrative foranstaltninger til beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling

| d) | fremme dataansvarliges og databehandleres kendskab til deres forpligtelser i henhold til denne forordning |
| --- | --- |

d)

fremme dataansvarliges og databehandleres kendskab til deres forpligtelser i henhold til denne forordning

| e) | efter anmodning informere registrerede om udøvelse af deres rettigheder i henhold til denne forordning og med henblik herpå samarbejde med tilsynsmyndighederne i andre medlemsstater, hvis det er relevant |
| --- | --- |

e)

efter anmodning informere registrerede om udøvelse af deres rettigheder i henhold til denne forordning og med henblik herpå samarbejde med tilsynsmyndighederne i andre medlemsstater, hvis det er relevant

| f) | behandle klager, der indgives af en registreret eller af et organ, en organisation eller en sammenslutning i overensstemmelse med artikel 80, og, for så vidt det er hensigtsmæssigt, undersøge genstanden for klagen og underrette klageren om forløbet og resultatet af undersøgelsen inden for en rimelig frist, navnlig hvis yderligere undersøgelse eller koordinering med en anden tilsynsmyndighed er nødvendig |
| --- | --- |

f)

behandle klager, der indgives af en registreret eller af et organ, en organisation eller en sammenslutning i overensstemmelse med artikel 80, og, for så vidt det er hensigtsmæssigt, undersøge genstanden for klagen og underrette klageren om forløbet og resultatet af undersøgelsen inden for en rimelig frist, navnlig hvis yderligere undersøgelse eller koordinering med en anden tilsynsmyndighed er nødvendig

| g) | samarbejde med andre tilsynsmyndigheder, herunder gennem udveksling af oplysninger og gensidig bistand, med henblik på at sikre ensartet anvendelse og håndhævelse af denne forordning |
| --- | --- |

g)

samarbejde med andre tilsynsmyndigheder, herunder gennem udveksling af oplysninger og gensidig bistand, med henblik på at sikre ensartet anvendelse og håndhævelse af denne forordning

| h) | gennemføre undersøgelser om anvendelsen af denne forordning, herunder på grundlag af oplysninger, der er modtaget fra en anden tilsynsmyndighed eller en anden offentlig myndighed |
| --- | --- |

h)

gennemføre undersøgelser om anvendelsen af denne forordning, herunder på grundlag af oplysninger, der er modtaget fra en anden tilsynsmyndighed eller en anden offentlig myndighed

| i) | holde øje med relevant udvikling, for så vidt den har indvirkning på beskyttelse af personoplysninger, navnlig udviklingen inden for informations- og kommunikationsteknologi og handelspraksis |
| --- | --- |

i)

holde øje med relevant udvikling, for så vidt den har indvirkning på beskyttelse af personoplysninger, navnlig udviklingen inden for informations- og kommunikationsteknologi og handelspraksis

| j) | vedtage standardkontraktbestemmelser som omhandlet i artikel 28, stk. 8, og i artikel 46, stk. 2, litra d) |
| --- | --- |

j)

vedtage standardkontraktbestemmelser som omhandlet i artikel 28, stk. 8, og i artikel 46, stk. 2, litra d)

| k) | opstille og føre en liste i forbindelse med kravet om en konsekvensanalyse vedrørende databeskyttelse i henhold til artikel 35, stk. 4 |
| --- | --- |

k)

opstille og føre en liste i forbindelse med kravet om en konsekvensanalyse vedrørende databeskyttelse i henhold til artikel 35, stk. 4

| l) | rådgive om behandlingsaktiviteter som omhandlet i artikel 36, stk. 2 |
| --- | --- |

l)

rådgive om behandlingsaktiviteter som omhandlet i artikel 36, stk. 2

| m) | tilskynde til udarbejdelse af adfærdskodekser i henhold til artikel 40, stk. 1, og afgive udtalelse om og godkende sådanne adfærdskodekser, som sikrer tilstrækkelige garantier i henhold til artikel 40, stk. 5 |
| --- | --- |

m)

tilskynde til udarbejdelse af adfærdskodekser i henhold til artikel 40, stk. 1, og afgive udtalelse om og godkende sådanne adfærdskodekser, som sikrer tilstrækkelige garantier i henhold til artikel 40, stk. 5

| n) | tilskynde til fastlæggelse af certificeringsmekanismer for databeskyttelse og databeskyttelsesmærkninger og -mærker i henhold til artikel 42, stk. 1, og godkende kriterierne for certificering i henhold til artikel 42, stk. 5 |
| --- | --- |

n)

tilskynde til fastlæggelse af certificeringsmekanismer for databeskyttelse og databeskyttelsesmærkninger og -mærker i henhold til artikel 42, stk. 1, og godkende kriterierne for certificering i henhold til artikel 42, stk. 5

| o) | når det er relevant, regelmæssigt gennemgå certificeringer udstedt i henhold til artikel 42, stk. 7 |
| --- | --- |

o)

når det er relevant, regelmæssigt gennemgå certificeringer udstedt i henhold til artikel 42, stk. 7

| p) | opstille og offentliggøre kriterierne for akkreditering af et organ til kontrol af adfærdskodekser i henhold til artikel 41 og af et certificeringsorgan i henhold til artikel 43 |
| --- | --- |

p)

opstille og offentliggøre kriterierne for akkreditering af et organ til kontrol af adfærdskodekser i henhold til artikel 41 og af et certificeringsorgan i henhold til artikel 43

| q) | foretage akkreditering af et organ til kontrol af adfærdskodekser i henhold til artikel 41 og af et certificeringsorgan i henhold til artikel 43 |
| --- | --- |

q)

foretage akkreditering af et organ til kontrol af adfærdskodekser i henhold til artikel 41 og af et certificeringsorgan i henhold til artikel 43

| r) | godkende kontraktbestemmelser og bestemmelser som omhandlet i artikel 46, stk. 3 |
| --- | --- |

r)

godkende kontraktbestemmelser og bestemmelser som omhandlet i artikel 46, stk. 3

| s) | godkende bindende virksomhedsregler i henhold til artikel 47 |
| --- | --- |

s)

godkende bindende virksomhedsregler i henhold til artikel 47

| t) | bidrage til Databeskyttelsesrådets aktiviteter |
| --- | --- |

t)

bidrage til Databeskyttelsesrådets aktiviteter

| u) | føre interne fortegnelser over overtrædelser af denne forordning og over foranstaltninger, der er truffet i henhold til artikel 58, stk. 2, og |
| --- | --- |

u)

føre interne fortegnelser over overtrædelser af denne forordning og over foranstaltninger, der er truffet i henhold til artikel 58, stk. 2, og

| v) | udføre enhver anden opgave i forbindelse med beskyttelse af personoplysninger. |
| --- | --- |

v)

udføre enhver anden opgave i forbindelse med beskyttelse af personoplysninger.

2.   Hver tilsynsmyndighed letter indgivelse af klager, jf. stk. 1, litra f), gennem foranstaltninger som f.eks. en klageformular, der også kan udfyldes elektronisk, uden at udelukke andre kommunikationsmidler.

3.   Hver tilsynsmyndighed varetager sine opgaver uden udgifter for den registrerede og, hvis det er relevant, for databeskyttelsesrådgiveren.

4.   Hvis anmodninger er åbenbart grundløse eller uforholdsmæssige, især fordi de gentages, kan tilsynsmyndigheden opkræve et rimeligt gebyr baseret på de administrative omkostninger eller afvise at efterkomme anmodningen. Bevisbyrden for, at anmodningen er åbenbart grundløs eller uforholdsmæssig, påhviler tilsynsmyndigheden.

Artikel 58

Beføjelser

1.   Hver tilsynsmyndighed har alle af følgende undersøgelsesbeføjelser:

| a) | at give den dataansvarlige og databehandleren samt den dataansvarliges eller databehandlerens eventuelle repræsentant påbud om at give alle oplysninger, der kræves til udførelse af myndighedens opgaver |
| --- | --- |

a)

at give den dataansvarlige og databehandleren samt den dataansvarliges eller databehandlerens eventuelle repræsentant påbud om at give alle oplysninger, der kræves til udførelse af myndighedens opgaver

| b) | at foretage undersøgelser i form af databeskyttelsesrevisioner |
| --- | --- |

b)

at foretage undersøgelser i form af databeskyttelsesrevisioner

| c) | at foretage en revision af certificeringer udstedt i henhold til artikel 42, stk. 7 |
| --- | --- |

c)

at foretage en revision af certificeringer udstedt i henhold til artikel 42, stk. 7

| d) | at underrette den dataansvarlige eller databehandleren om en påstået overtrædelse af denne forordning |
| --- | --- |

d)

at underrette den dataansvarlige eller databehandleren om en påstået overtrædelse af denne forordning

| e) | af den dataansvarlige eller databehandleren at få adgang til alle personoplysninger og oplysninger, der er nødvendige for at varetage dens opgaver |
| --- | --- |

e)

af den dataansvarlige eller databehandleren at få adgang til alle personoplysninger og oplysninger, der er nødvendige for at varetage dens opgaver

| f) | at få adgang til alle lokaler hos den dataansvarlige og databehandleren, herunder til databehandlingsudstyr og -midler, i overensstemmelse med retsplejeregler i EU-retten eller medlemsstaternes nationale ret. |
| --- | --- |

f)

at få adgang til alle lokaler hos den dataansvarlige og databehandleren, herunder til databehandlingsudstyr og -midler, i overensstemmelse med retsplejeregler i EU-retten eller medlemsstaternes nationale ret.

2.   Hver tilsynsmyndighed har alle af følgende korrigerende beføjelser:

| a) | at udstede advarsler til en dataansvarlig eller en databehandler om, at planlagte behandlingsaktiviteter sandsynligvis vil være i strid med denne forordning |
| --- | --- |

a)

at udstede advarsler til en dataansvarlig eller en databehandler om, at planlagte behandlingsaktiviteter sandsynligvis vil være i strid med denne forordning

| b) | at udtale kritik af en dataansvarlig eller en databehandler, hvis behandlingsaktiviteter har været i strid med denne forordning |
| --- | --- |

b)

at udtale kritik af en dataansvarlig eller en databehandler, hvis behandlingsaktiviteter har været i strid med denne forordning

| c) | at give den dataansvarlige eller databehandleren påbud om at imødekomme den registreredes anmodninger om at udøve sine rettigheder i henhold til denne forordning |
| --- | --- |

c)

at give den dataansvarlige eller databehandleren påbud om at imødekomme den registreredes anmodninger om at udøve sine rettigheder i henhold til denne forordning

| d) | at give den dataansvarlige eller databehandleren påbud om at bringe behandlingsaktiviteter i overensstemmelse med bestemmelserne i denne forordning og, hvis det er hensigtsmæssigt, på en nærmere angivet måde og inden for en nærmere angivet frist |
| --- | --- |

d)

at give den dataansvarlige eller databehandleren påbud om at bringe behandlingsaktiviteter i overensstemmelse med bestemmelserne i denne forordning og, hvis det er hensigtsmæssigt, på en nærmere angivet måde og inden for en nærmere angivet frist

| e) | at give den dataansvarlige påbud om at underrette den registrerede om et brud på persondatasikkerheden |
| --- | --- |

e)

at give den dataansvarlige påbud om at underrette den registrerede om et brud på persondatasikkerheden

| f) | midlertidigt eller definitivt at begrænse, herunder forbyde, behandling |
| --- | --- |

f)

midlertidigt eller definitivt at begrænse, herunder forbyde, behandling

| g) | at give påbud om berigtigelse eller sletning af personoplysninger eller begrænsning af behandling i henhold til artikel 16, 17 og 18 og meddelelse af sådanne handlinger til de modtagere, som personoplysningerne er videregivet til i henhold til artikel 17, stk. 2, og artikel 19 |
| --- | --- |

g)

at give påbud om berigtigelse eller sletning af personoplysninger eller begrænsning af behandling i henhold til artikel 16, 17 og 18 og meddelelse af sådanne handlinger til de modtagere, som personoplysningerne er videregivet til i henhold til artikel 17, stk. 2, og artikel 19

| h) | at trække en certificering tilbage eller at give et certificeringsorgan påbud om at trække en certificering, der er udstedt i henhold til artikel 42 og 43, tilbage eller at give certificeringsorganet påbud om ikke at udstede en certificering, hvis kravene til certificering ikke er eller ikke længere er opfyldt |
| --- | --- |

h)

at trække en certificering tilbage eller at give et certificeringsorgan påbud om at trække en certificering, der er udstedt i henhold til artikel 42 og 43, tilbage eller at give certificeringsorganet påbud om ikke at udstede en certificering, hvis kravene til certificering ikke er eller ikke længere er opfyldt

| i) | at pålægge en administrativ bøde i henhold til artikel 83 i tillæg til eller i stedet for foranstaltningerne i dette stykke, afhængigt af omstændighederne i hvert enkelt tilfælde, og |
| --- | --- |

i)

at pålægge en administrativ bøde i henhold til artikel 83 i tillæg til eller i stedet for foranstaltningerne i dette stykke, afhængigt af omstændighederne i hvert enkelt tilfælde, og

| j) | at påbyde suspension af overførsel af oplysninger til en modtager i et tredjeland eller til en international organisation. |
| --- | --- |

j)

at påbyde suspension af overførsel af oplysninger til en modtager i et tredjeland eller til en international organisation.

3.   Hver tilsynsmyndighed har alle af følgende godkendelses- og rådgivningsbeføjelser:

| a) | at rådgive den dataansvarlige efter den procedure for forudgående høring, der er omhandlet i artikel 36 |
| --- | --- |

a)

at rådgive den dataansvarlige efter den procedure for forudgående høring, der er omhandlet i artikel 36

| b) | på eget initiativ eller på anmodning at afgive udtalelser til det nationale parlament, medlemsstatens regering eller i overensstemmelse med medlemsstaternes nationale ret til andre institutioner og organer samt offentligheden om ethvert spørgsmål om beskyttelse af personoplysninger |
| --- | --- |

b)

på eget initiativ eller på anmodning at afgive udtalelser til det nationale parlament, medlemsstatens regering eller i overensstemmelse med medlemsstaternes nationale ret til andre institutioner og organer samt offentligheden om ethvert spørgsmål om beskyttelse af personoplysninger

| c) | at godkende den i artikel 36, stk. 5, omhandlede behandling, hvis en sådan forudgående godkendelse er påkrævet i henhold til den pågældende medlemsstats nationale ret |
| --- | --- |

c)

at godkende den i artikel 36, stk. 5, omhandlede behandling, hvis en sådan forudgående godkendelse er påkrævet i henhold til den pågældende medlemsstats nationale ret

| d) | at afgive udtalelse og godkende forslag til adfærdskodekser i henhold til artikel 40, stk. 5 |
| --- | --- |

d)

at afgive udtalelse og godkende forslag til adfærdskodekser i henhold til artikel 40, stk. 5

| e) | at akkreditere certificeringsorganer i henhold til artikel 43 |
| --- | --- |

e)

at akkreditere certificeringsorganer i henhold til artikel 43

| f) | at udstede certificeringer og godkende kriterier for certificering i overensstemmelse med artikel 42, stk. 5 |
| --- | --- |

f)

at udstede certificeringer og godkende kriterier for certificering i overensstemmelse med artikel 42, stk. 5

| g) | at vedtage standardbestemmelser om databeskyttelse som omhandlet i artikel 28, stk. 8, og i artikel 46, stk. 2, litra d) |
| --- | --- |

g)

at vedtage standardbestemmelser om databeskyttelse som omhandlet i artikel 28, stk. 8, og i artikel 46, stk. 2, litra d)

| h) | at godkende kontraktbestemmelser som omhandlet i artikel 46, stk. 3, litra a) |
| --- | --- |

h)

at godkende kontraktbestemmelser som omhandlet i artikel 46, stk. 3, litra a)

| i) | at godkende administrative ordninger som omhandlet i artikel 46, stk. 3, litra b) |
| --- | --- |

i)

at godkende administrative ordninger som omhandlet i artikel 46, stk. 3, litra b)

| j) | at godkende bindende virksomhedsregler i henhold til artikel 47. |
| --- | --- |

j)

at godkende bindende virksomhedsregler i henhold til artikel 47.

4.   Udøvelse af de beføjelser, der tillægges tilsynsmyndigheden i medfør af denne artikel, er underlagt de fornødne garantier, herunder effektive retsmidler og retfærdig procedure, der er fastsat i EU-retten eller medlemsstaternes nationale ret i overensstemmelse med chartret.

5.   Hver medlemsstat fastsætter ved lov, at dens tilsynsmyndighed har beføjelse til at indbringe overtrædelser af denne forordning for de judicielle myndigheder og om nødvendigt at indlede eller på anden måde deltage i retssager med henblik på at håndhæve bestemmelserne i denne forordning.

6.   Hver medlemsstat kan ved lov fastsætte, at dens tilsynsmyndighed har yderligere beføjelser end dem, der er omhandlet i stk. 1, 2 og 3. Udøvelsen af disse beføjelser må ikke hindre en effektiv anvendelse af kapitel VII.

Artikel 59

Aktivitetsrapport

Hver tilsynsmyndighed udarbejder en årlig rapport om sin virksomhed, eventuelt med en liste over, hvilke typer overtrædelser der er blevet anmeldt, og hvilke typer foranstaltninger der er truffet i henhold til artikel 58, stk. 2. Disse rapporter fremsendes til det nationale parlament, regeringen og andre myndigheder, der er udpeget efter medlemsstaternes nationale ret. De gøres tilgængelige for offentligheden, Kommissionen og Databeskyttelsesrådet.

KAPITEL VII

Samarbejde og sammenhæng

Afdeling 1

Samarbejde

Artikel 60

Samarbejde mellem den ledende tilsynsmyndighed og de andre berørte tilsynsmyndigheder

1.   Den ledende tilsynsmyndighed samarbejder i henhold til denne artikel med de andre berørte tilsynsmyndigheder med henblik på at nå til enighed. Den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder udveksler alle relevante oplysninger med hinanden.

2.   Den ledende tilsynsmyndighed kan til enhver tid anmode andre berørte tilsynsmyndigheder om at yde gensidig bistand i henhold til artikel 61 og kan gennemføre fælles aktiviteter i henhold til artikel 62, navnlig med henblik på at foretage undersøgelser eller overvåge gennemførelsen af en foranstaltning vedrørende en dataansvarlig eller en databehandler, der er etableret i en anden medlemsstat.

3.   Den ledende tilsynsmyndighed underretter straks de andre berørte tilsynsmyndigheder om sagens relevante oplysninger. Den forelægger straks de andre berørte tilsynsmyndigheder et udkast til afgørelse med henblik på deres udtalelse og tager behørigt hensyn til deres synspunkter.

4.   Hvis en af de andre berørte tilsynsmyndigheder inden for fire uger efter at være blevet hørt, jf. denne artikels stk. 3, fremkommer med en relevant og begrundet indsigelse mod udkastet til afgørelse, forelægger den ledende tilsynsmyndighed, hvis den ikke følger den relevante og begrundede indsigelse eller er af den opfattelse, at indsigelsen ikke er relevant eller begrundet, sagen for den sammenhængsmekanisme, der er omhandlet i artikel 63.

5.   Agter den ledende tilsynsmyndighed at følge den relevante og begrundede indsigelse, forelægger den de andre berørte tilsynsmyndigheder et revideret udkast til afgørelse med henblik på deres udtalelse. Dette reviderede udkast til afgørelse er underlagt den i stk. 4 omhandlede procedure inden for en frist på to uger.

6.   Har ingen af de andre berørte tilsynsmyndigheder gjort indsigelse mod udkastet til afgørelse, som den ledende tilsynsmyndighed har forelagt inden for den frist, der er omhandlet i stk. 4 og 5, anses den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder for at være enige i dette udkast til afgørelse og er bundet af det.

7.   Den ledende tilsynsmyndighed vedtager og meddeler afgørelsen til den dataansvarliges eller databehandlerens hovedvirksomhed eller eneste etablering, alt efter omstændighederne, og underretter de andre berørte tilsynsmyndigheder og Databeskyttelsesrådet om den pågældende afgørelse, herunder et resumé af de relevante faktiske omstændigheder og begrundelser. Den tilsynsmyndighed, til hvilken der er indgivet klage, underretter klageren om afgørelsen.

8.   Hvis en klage er blevet afslået eller afvist, vedtager den tilsynsmyndighed, til hvilken klagen er indgivet, uanset stk. 7, afgørelsen og meddeler denne til klageren og underretter den dataansvarlige herom.

9.   Hvis den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder er enige om at afslå eller afvise dele af en klage og at behandle andre dele af klagen, vedtages der en særskilt afgørelse for hver af disse dele af sagen. Den ledende tilsynsmyndighed vedtager afgørelsen for den del, der vedrører foranstaltninger over for den dataansvarlige, meddeler dette til den dataansvarliges eller databehandlerens hovedvirksomhed eller eneste etablering på dens medlemsstats område og underretter klageren herom, mens tilsynsmyndigheden for klageren vedtager afgørelsen for den del, der vedrører afslag eller afvisning af klagen, og underretter klageren herom og meddeler dette til den dataansvarlige eller databehandleren.

10.   Den dataansvarlige eller databehandleren træffer efter at være blevet underrettet om den ledende tilsynsmyndigheds afgørelse i henhold til stk. 7 og 9 de nødvendige foranstaltninger til at sikre overholdelse af afgørelsen for så vidt angår behandlingsaktiviteter i forbindelse med alle vedkommendes etableringer i Unionen. Den dataansvarlige eller databehandleren underretter den ledende tilsynsmyndighed, der underretter de andre berørte tilsynsmyndigheder, om de foranstaltninger, der er truffet for at overholde afgørelsen.

11.   Hvis en berørt tilsynsmyndighed under ekstraordinære omstændigheder har grund til at mene, at det er nødvendigt at handle omgående for at beskytte registreredes interesser, finder den i artikel 66 omhandlede hasteprocedure anvendelse.

12.   Den ledende tilsynsmyndighed og de andre berørte tilsynsmyndigheder udveksler elektronisk de i denne artikel omhandlede oplysninger med hinanden i et standardformat.

Artikel 61

Gensidig bistand

1.   Tilsynsmyndighederne udveksler relevante oplysninger og yder hinanden gensidig bistand med henblik på at gennemføre og anvende denne forordning på en ensartet måde og træffer foranstaltninger med henblik på et effektivt samarbejde med hinanden. Gensidig bistand omfatter navnlig anmodninger om oplysninger og tilsynsforanstaltninger, som f.eks. anmodninger om gennemførelse af forudgående godkendelser og høringer, inspektioner og undersøgelser.

2.   Hver tilsynsmyndighed træffer alle passende foranstaltninger, som er nødvendige for at besvare en anmodning fra en anden tilsynsmyndighed uden unødig forsinkelse og senest en måned efter modtagelsen af anmodningen. Sådanne foranstaltninger kan bl.a. omfatte videregivelse af relevante oplysninger om gennemførelsen af en undersøgelse.

3.   Anmodninger om bistand skal indeholde alle nødvendige oplysninger, herunder formålet med og grunden til anmodningen. Udvekslede oplysninger må kun anvendes til det formål, som er angivet i anmodningen.

4.   Den anmodede tilsynsmyndighed må ikke afvise at imødekomme anmodningen, medmindre:

| a) | den ikke har kompetence med hensyn til genstanden for anmodningen eller de foranstaltninger, som den anmodes om at iværksætte, eller |
| --- | --- |

a)

den ikke har kompetence med hensyn til genstanden for anmodningen eller de foranstaltninger, som den anmodes om at iværksætte, eller

| b) | imødekommelse af anmodningen ville udgøre en overtrædelse af denne forordning eller af EU-ret eller medlemsstaternes nationale ret, som den tilsynsmyndighed, der modtager anmodningen, er underlagt. |
| --- | --- |

b)

imødekommelse af anmodningen ville udgøre en overtrædelse af denne forordning eller af EU-ret eller medlemsstaternes nationale ret, som den tilsynsmyndighed, der modtager anmodningen, er underlagt.

5.   Den anmodede tilsynsmyndighed underretter den anmodende tilsynsmyndighed om resultaterne eller efter omstændighederne om fremskridtene med de foranstaltninger, der er truffet for at imødekomme anmodningen. Den anmodede tilsynsmyndighed begrunder enhver afvisning af at imødekomme en anmodning i henhold til stk. 4.

6.   Anmodede tilsynsmyndigheder fremsender som hovedregel de oplysninger, som andre tilsynsmyndigheder anmoder om, elektronisk i et standardformat.

7.   Anmodede tilsynsmyndigheder må ikke opkræve gebyr for foranstaltninger, der træffes af dem på grundlag af en anmodning om gensidig bistand. Tilsynsmyndighederne kan vedtage regler om at godtgøre hinanden for specifikke udgifter, der opstår under ekstraordinære omstændigheder, når der ydes gensidig bistand.

8.   Hvis en tilsynsmyndighed ikke giver de oplysninger, der er omhandlet i denne artikels stk. 5, inden for en måned efter modtagelsen af en anmodning fra en anden tilsynsmyndighed, kan den anmodende tilsynsmyndighed vedtage en foreløbig foranstaltning på sin medlemsstats område i henhold til artikel 55, stk. 1. I dette tilfælde antages kravet om behovet for at handle omgående, jf. artikel 66, stk. 1, at være opfyldt, og at kræve en hurtig bindende afgørelse fra Databeskyttelsesrådet, jf. artikel 66, stk. 2.

9.   Kommissionen kan ved gennemførelsesretsakter fastlægge format og procedurer for gensidig bistand som omhandlet i denne artikel og ordninger for elektronisk udveksling af oplysninger mellem tilsynsmyndigheder og mellem tilsynsmyndigheder og Databeskyttelsesrådet, navnlig standardformatet omhandlet i denne artikels stk. 6. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 93, stk. 2.

Artikel 62

Tilsynsmyndigheders fælles aktiviteter

1.   Hvis det er hensigtsmæssigt, gennemfører tilsynsmyndighederne fælles aktiviteter, herunder fælles undersøgelses- og håndhævelsesforanstaltninger, som medlemmer eller medarbejdere fra andre medlemsstaters tilsynsmyndigheder deltager i.

2.   Hvis den dataansvarlige eller databehandleren har etableringer i flere medlemsstater, eller hvor et betydeligt antal registrerede i mere end én medlemsstat sandsynligvis påvirkes i væsentlig grad af behandlingsaktiviteter, har tilsynsmyndigheden i hver af disse medlemsstater ret til at deltage i fælles aktiviteter. Den tilsynsmyndighed, der er kompetent i henhold til artikel 56, stk. 1 eller 4, indbyder tilsynsmyndigheden i hver af disse medlemsstater til at deltage i de fælles aktiviteter og besvarer straks en tilsynsmyndigheds anmodning om deltagelse.

3.   En tilsynsmyndighed kan i overensstemmelse med medlemsstatens nationale ret og med den udsendende tilsynsmyndigheds godkendelse delegere beføjelser, herunder undersøgelsesbeføjelser, til den udsendende tilsynsmyndigheds medlemmer eller medarbejdere, som deltager i fælles aktiviteter, eller, for så vidt national ret i værtstilsynsmyndighedens medlemsstat tillader det, tillade, at den udsendende tilsynsmyndigheds medlemmer eller medarbejdere udøver deres undersøgelsesbeføjelser i overensstemmelse med retten i den udsendende tilsynsmyndigheds medlemsstat. Sådanne undersøgelsesbeføjelser må kun udøves under vejledning og i tilstedeværelse af værtstilsynsmyndighedens medlemmer eller medarbejdere. Den udsendende tilsynsmyndigheds medlemmer eller medarbejdere er underlagt national ret i værtstilsynsmyndighedens medlemsstat.

4.   Hvis en udsendende tilsynsmyndigheds medarbejdere i henhold til stk. 1 udfører aktiviteter i en anden medlemsstat, påtager værtstilsynsmyndighedens medlemsstat sig ansvaret for deres handlinger, herunder erstatningsansvar for enhver skade, som de måtte forvolde under udførelsen af deres aktiviteter, i overensstemmelse med retten i den medlemsstat, på hvis område de udfører aktiviteter.

5.   Den medlemsstat, på hvis område skade forvoldes, erstatter den pågældende skade på samme betingelser som skader forvoldt af dens egne medarbejdere. Den udsendende tilsynsmyndigheds medlemsstat, hvis medarbejdere har forvoldt skade på personer på en anden medlemsstats område, skal fuldt ud godtgøre alle beløb, som denne anden medlemsstat har betalt i skadeserstatning til de berettigede personer på deres vegne.

6.   Uden at det berører udøvelsen af rettigheder over for tredjemand og med undtagelse af det i stk. 5 omhandlede tilfælde, giver den enkelte medlemsstat i det tilfælde, der er omhandlet i stk. 1, afkald på at kræve godtgørelse fra en anden medlemsstat i forbindelse med skade som omhandlet i stk. 4.

7.   Hvis der planlægges en fælles aktivitet, og en tilsynsmyndighed ikke opfylder forpligtelsen i stk. 2, andet punktum, inden for en måned, kan de andre tilsynsmyndigheder vedtage en foreløbig foranstaltning på deres medlemsstats område i overensstemmelse med artikel 55. I dette tilfælde antages kravet om behovet for at handle omgående, jf. artikel 66, stk. 1, at være opfyldt, og at kræve en hurtig bindende afgørelse fra Databeskyttelsesrådet, jf. artikel 66, stk. 2.

Afdeling 2

Sammenhæng

Artikel 63

Sammenhængsmekanisme

Med henblik på at bidrage til en ensartet anvendelse af denne forordning i hele Unionen samarbejder tilsynsmyndighederne med hinanden og, hvis det er relevant, med Kommissionen gennem den sammenhængsmekanisme, der er omhandlet i denne afdeling.

Artikel 64

Udtalelse fra Databeskyttelsesrådet

1.   Databeskyttelsesrådet afgiver en udtalelse, når en kompetent tilsynsmyndighed har til hensigt at vedtage en af nedenstående foranstaltninger. Med henblik herpå sender den kompetente tilsynsmyndighed et udkast til afgørelse til Databeskyttelsesrådet, når den:

| a) | har til hensigt at vedtage en liste over typer af behandlingsaktiviteter, som er underlagt kravet om en konsekvensanalyse vedrørende databeskyttelse i henhold til artikel 35, stk. 4 |
| --- | --- |

a)

har til hensigt at vedtage en liste over typer af behandlingsaktiviteter, som er underlagt kravet om en konsekvensanalyse vedrørende databeskyttelse i henhold til artikel 35, stk. 4

| b) | behandler et spørgsmål i henhold til artikel 40, stk. 7, om, hvorvidt et udkast til adfærdskodeks eller en ændring eller udvidelse af en adfærdskodeks overholder denne forordning |
| --- | --- |

b)

behandler et spørgsmål i henhold til artikel 40, stk. 7, om, hvorvidt et udkast til adfærdskodeks eller en ændring eller udvidelse af en adfærdskodeks overholder denne forordning

| c) | har til hensigt at godkende kriterierne for akkreditering af et organ i henhold til artikel 41, stk. 3, eller et certificeringsorgan i henhold til artikel 43, stk. 3 |
| --- | --- |

c)

har til hensigt at godkende kriterierne for akkreditering af et organ i henhold til artikel 41, stk. 3, eller et certificeringsorgan i henhold til artikel 43, stk. 3

| d) | har til hensigt at vedtage standardbestemmelser om databeskyttelse som omhandlet i artikel 46, stk. 2, litra d), og i artikel 28, stk. 8 |
| --- | --- |

d)

har til hensigt at vedtage standardbestemmelser om databeskyttelse som omhandlet i artikel 46, stk. 2, litra d), og i artikel 28, stk. 8

| e) | har til hensigt at godkende kontraktbestemmelser som omhandlet i artikel 46, stk. 3, litra a), eller |
| --- | --- |

e)

har til hensigt at godkende kontraktbestemmelser som omhandlet i artikel 46, stk. 3, litra a), eller

| f) | har til hensigt at godkende bindende virksomhedsregler som omhandlet i artikel 47. |
| --- | --- |

f)

har til hensigt at godkende bindende virksomhedsregler som omhandlet i artikel 47.

2.   En tilsynsmyndighed, formanden for Databeskyttelsesrådet eller Kommissionen kan kræve, at ethvert almengyldigt spørgsmål eller ethvert spørgsmål, der har virkninger i mere end én medlemsstat, drøftes af Databeskyttelsesrådet med henblik på en udtalelse, navnlig hvis en kompetent tilsynsmyndighed ikke opfylder forpligtelserne vedrørende gensidig bistand, jf. artikel 61, eller vedrørende fælles aktiviteter, jf. artikel 62.

3.   I de tilfælde, der er omhandlet i stk. 1 og 2, afgiver Databeskyttelsesrådet udtalelse om det spørgsmål, som det har fået forelagt, forudsat at det ikke allerede har afgivet en udtalelse om samme spørgsmål. Denne udtalelse vedtages inden for otte uger med simpelt flertal blandt medlemmerne af Databeskyttelsesrådet. Denne frist kan forlænges med yderligere seks uger under hensyntagen til spørgsmålets kompleksitet. Med hensyn til det i stk. 1 omhandlede udkast til afgørelse, der i henhold til stk. 5 udsendes til medlemmerne af Databeskyttelsesrådet, anses et medlem, som ikke har gjort indsigelse inden for en rimelig frist, der angives af formanden, for at være enigt i udkastet til afgørelse.

4.   Tilsynsmyndigheder og Kommissionen sender uden unødig forsinkelse elektronisk og i et standardformat Databeskyttelsesrådet alle relevante oplysninger, herunder et resumé af de faktiske omstændigheder, den foreslåede afgørelse, begrundelsen for vedtagelse af en sådan foranstaltning og andre berørte tilsynsmyndigheders synspunkter.

5.   Formanden for Databeskyttelsesrådet underretter uden unødig forsinkelse elektronisk:

| a) | medlemmerne af Databeskyttelsesrådet og Kommissionen om alle relevante oplysninger, som vedkommende har modtaget, i et standardformat. Sekretariatet for Databeskyttelsesrådet sørger efter behov for oversættelse af de relevante oplysninger, og |
| --- | --- |

a)

medlemmerne af Databeskyttelsesrådet og Kommissionen om alle relevante oplysninger, som vedkommende har modtaget, i et standardformat. Sekretariatet for Databeskyttelsesrådet sørger efter behov for oversættelse af de relevante oplysninger, og

| b) | den tilsynsmyndighed, der er omhandlet i stk. 1 og 2, og Kommissionen om den pågældende udtalelse og offentliggør den. |
| --- | --- |

b)

den tilsynsmyndighed, der er omhandlet i stk. 1 og 2, og Kommissionen om den pågældende udtalelse og offentliggør den.

6.   Den kompetente tilsynsmyndighed vedtager ikke sit udkast til afgørelse omhandlet i stk. 1 i den periode, der er omhandlet i stk. 3.

7.   Den tilsynsmyndighed, der er omhandlet i stk. 1, tager videst muligt hensyn til Databeskyttelsesrådets udtalelse og giver senest to uger efter modtagelsen af udtalelsen formanden for Databeskyttelsesrådet elektronisk meddelelse om, hvorvidt den agter at fastholde eller ændre sit udkast til afgørelse, og forelægger i givet fald det ændrede udkast til afgørelse i et standardformat.

8.   Hvis den berørte tilsynsmyndighed inden for den frist, der er omhandlet i denne artikels stk. 7, underretter formanden for Databeskyttelsesrådet om, at den helt eller delvist ikke agter at følge udtalelsen fra Databeskyttelsesrådet, og den giver en relevant begrundelse herfor, finder artikel 65, stk. 1, anvendelse.

Artikel 65

Tvistbilæggelse ved Databeskyttelsesrådet

1.   Med henblik på at sikre korrekt og konsekvent anvendelse af denne forordning i hvert enkelt tilfælde vedtager Databeskyttelsesrådet en bindende afgørelse i følgende tilfælde:

| a) | hvis en berørt tilsynsmyndighed i et tilfælde som omhandlet i artikel 60, stk. 4, er fremkommet med en relevant og begrundet indsigelse mod et udkast til afgørelse udarbejdet af den ledende myndighed, eller den ledende myndighed har afvist en sådan indsigelse som værende uden relevans eller ubegrundet. Den bindende afgørelse skal vedrøre alle spørgsmål, der er genstand for den relevante og begrundede indsigelse, navnlig hvorvidt denne forordning er overtrådt |
| --- | --- |

a)

hvis en berørt tilsynsmyndighed i et tilfælde som omhandlet i artikel 60, stk. 4, er fremkommet med en relevant og begrundet indsigelse mod et udkast til afgørelse udarbejdet af den ledende myndighed, eller den ledende myndighed har afvist en sådan indsigelse som værende uden relevans eller ubegrundet. Den bindende afgørelse skal vedrøre alle spørgsmål, der er genstand for den relevante og begrundede indsigelse, navnlig hvorvidt denne forordning er overtrådt

| b) | hvis der er uenighed om, hvilken af de berørte tilsynsmyndigheder der er kompetent med hensyn til hovedvirksomheden |
| --- | --- |

b)

hvis der er uenighed om, hvilken af de berørte tilsynsmyndigheder der er kompetent med hensyn til hovedvirksomheden

| c) | hvis en kompetent tilsynsmyndighed ikke anmoder om udtalelse fra Databeskyttelsesrådet i de tilfælde, der er omhandlet i artikel 64, stk. 1, eller ikke følger Databeskyttelsesrådets udtalelse udstedt i henhold til artikel 64. I så fald kan enhver berørt tilsynsmyndighed eller Kommissionen indbringe spørgsmålet for Databeskyttelsesrådet. |
| --- | --- |

c)

hvis en kompetent tilsynsmyndighed ikke anmoder om udtalelse fra Databeskyttelsesrådet i de tilfælde, der er omhandlet i artikel 64, stk. 1, eller ikke følger Databeskyttelsesrådets udtalelse udstedt i henhold til artikel 64. I så fald kan enhver berørt tilsynsmyndighed eller Kommissionen indbringe spørgsmålet for Databeskyttelsesrådet.

2.   Den afgørelse, der er omhandlet i stk. 1, vedtages inden for en måned fra forelæggelsen af spørgsmålet med et flertal på to tredjedele blandt medlemmerne af Databeskyttelsesrådet. Denne frist kan forlænges med yderligere en måned på grund af spørgsmålets kompleksitet. Afgørelsen i stk. 1 skal være begrundet og rettet til den ledende tilsynsmyndighed og alle de berørte tilsynsmyndigheder og have bindende virkning for dem.

3.   Hvis Databeskyttelsesrådet ikke har været i stand til at træffe en afgørelse inden for de i stk. 2 omhandlede frister, vedtager det sin afgørelse senest to uger efter udløbet af den anden måned som omhandlet i stk. 2 med simpelt flertal blandt Databeskyttelsesrådets medlemmer. I tilfælde af stemmelighed blandt medlemmerne af Databeskyttelsesrådet er formandens stemme udslagsgivende.

4.   De berørte tilsynsmyndigheder må ikke vedtage en afgørelse om et spørgsmål, der er forelagt for Databeskyttelsesrådet i henhold til stk. 1, i løbet af de i stk. 2 og 3 omhandlede perioder.

5.   Formanden for Databeskyttelsesrådet meddeler uden unødig forsinkelse den i stk. 1 omhandlede afgørelse til de berørte tilsynsmyndigheder. Formanden underretter Kommissionen herom. Afgørelsen offentliggøres straks på Databeskyttelsesrådets websted, når tilsynsmyndigheden har meddelt den endelige afgørelse, jf. stk. 6.

6.   Den ledende tilsynsmyndighed eller efter omstændighederne den tilsynsmyndighed, til hvem en klage er indgivet, vedtager sin endelige afgørelse på grundlag af den i denne artikels stk. 1 omhandlede afgørelse uden unødig forsinkelse og senest en måned efter, at Databeskyttelsesrådet har meddelt sin afgørelse. Den ledende tilsynsmyndighed eller efter omstændighederne den tilsynsmyndighed, til hvem klagen er indgivet, underretter Databeskyttelsesrådet om datoen for meddelelse af sin endelige afgørelse til henholdsvis den dataansvarlige eller databehandleren og den registrerede. Den berørte tilsynsmyndigheds endelige afgørelse vedtages i henhold til artikel 60, stk. 7, 8 og 9. Den endelige afgørelse skal indeholde en henvisning til den afgørelse, der er omhandlet i nærværende artikels stk. 1, og angive, at den i nævnte stykke omhandlede afgørelse vil blive offentliggjort på Databeskyttelsesrådets websted i overensstemmelse med nærværende artikels stk. 5. Den i nærværende artikels stk. 1 omhandlede afgørelse vedlægges den endelige afgørelse.

Artikel 66

Hasteprocedure

1.   Når en berørt tilsynsmyndighed under ekstraordinære omstændigheder mener, at det er nødvendigt at handle omgående for at beskytte registreredes rettigheder og frihedsrettigheder, kan den uanset den i artikel 63, 64 og 65 omhandlede sammenhængsmekanisme eller den i artikel 60 omhandlede procedure omgående træffe foreløbige foranstaltninger, der skal have retsvirkning på dens eget område med en angivet gyldighedsperiode, som ikke må overstige tre måneder. Tilsynsmyndigheden meddeler straks de andre berørte tilsynsmyndigheder, Databeskyttelsesrådet og Kommissionen disse foranstaltninger og en begrundelse for vedtagelsen heraf.

2.   Hvis en tilsynsmyndighed har vedtaget en foranstaltning i henhold til stk. 1 og mener, at der omgående skal vedtages endelige foranstaltninger, kan den anmode om en hasteudtalelse eller en hurtig bindende afgørelse fra Databeskyttelsesrådet, idet tilsynsmyndigheden begrunder anmodningen om en sådan udtalelse eller afgørelse.

3.   Enhver tilsynsmyndighed kan anmode om en hasteudtalelse eller efter omstændighederne en hurtig bindende afgørelse, fra Databeskyttelsesrådet, hvis en kompetent tilsynsmyndighed ikke har truffet de fornødne foranstaltninger i en situation, hvor det er nødvendigt at handle omgående for at beskytte registreredes rettigheder og frihedsrettigheder, idet tilsynsmyndigheden begrunder anmodningen om en sådan udtalelse eller afgørelse, herunder behovet for at handle omgående.

4.   Uanset artikel 64, stk. 3, og artikel 65, stk. 2, vedtages en hasteudtalelse eller en hurtig bindende afgørelse som omhandlet i nærværende artikels stk. 2 og 3 inden for to uger med simpelt flertal blandt medlemmerne af Databeskyttelsesrådet.

Artikel 67

Udveksling af oplysninger

Kommissionen kan vedtage gennemførelsesretsakter af generel karakter med henblik på nærmere at angive ordningerne for elektronisk udveksling af oplysninger mellem tilsynsmyndigheder og mellem tilsynsmyndigheder og Databeskyttelsesrådet, navnlig det standardformat, der er omhandlet i artikel 64.

Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 93, stk. 2.

Afdeling 3

Det Europæiske Databeskyttelsesråd

Artikel 68

Det Europæiske Databeskyttelsesråd

1.   Det Europæiske Databeskyttelsesråd (»Databeskyttelsesrådet«) oprettes herved som et EU-organ med status som juridisk person.

2.   Databeskyttelsesrådet repræsenteres af sin formand.

3.   Databeskyttelsesrådet sammensættes af chefen for en tilsynsmyndighed i hver medlemsstat og af Den Europæiske Tilsynsførende for Databeskyttelse eller deres respektive repræsentanter.

4.   Hvis mere end én tilsynsmyndighed i en medlemsstat er ansvarlig for at føre tilsyn med af anvendelsen af bestemmelserne i denne forordning, udnævnes en fælles repræsentant i henhold til den pågældende medlemsstats nationale ret.

5.   Kommissionen har ret til at deltage i Databeskyttelsesrådets aktiviteter og møder uden stemmeret. Kommissionen udpeger en repræsentant. Formanden for Databeskyttelsesrådet underretter Kommissionen om aktiviteterne i Databeskyttelsesrådet.

6.   I de i artikel 65 omhandlede tilfælde har Den Europæiske Tilsynsførende for Databeskyttelse kun stemmeret i forbindelse med afgørelser, der vedrører principper og bestemmelser, som gælder for Unionens institutioner, organer, kontorer og agenturer, og som indholdsmæssigt er i overensstemmelse med denne forordnings principper og bestemmelser.

Artikel 69

Uafhængighed

1.   Databeskyttelsesrådet handler uafhængigt, når det udfører sine opgaver eller udøver sine beføjelser i henhold til artikel 70 og 71.

2.   Uden at det berører anmodninger fra Kommissionen som omhandlet i artikel 70, stk. 1, litra b), og stk. 2, må Databeskyttelsesrådet ikke søge eller modtage instrukser fra andre i forbindelse med udførelsen af sine opgaver eller udøvelsen af sine beføjelser.

Artikel 70

Databeskyttelsesrådets opgaver

1.   Databeskyttelsesrådet sikrer ensartet anvendelse af denne forordning. Med henblik herpå skal Databeskyttelsesrådet på eget initiativ eller, når det er relevant, efter anmodning fra Kommissionen navnlig:

| a) | føre tilsyn med og sikre korrekt anvendelse af denne forordning i de tilfælde, der er omhandlet i artikel 64 og 65, uden at dette berører de nationale tilsynsmyndigheders opgaver |
| --- | --- |

a)

føre tilsyn med og sikre korrekt anvendelse af denne forordning i de tilfælde, der er omhandlet i artikel 64 og 65, uden at dette berører de nationale tilsynsmyndigheders opgaver

| b) | rådgive Kommissionen om ethvert spørgsmål vedrørende beskyttelse af personoplysninger i Unionen, herunder om ethvert forslag til ændring af denne forordning |
| --- | --- |

b)

rådgive Kommissionen om ethvert spørgsmål vedrørende beskyttelse af personoplysninger i Unionen, herunder om ethvert forslag til ændring af denne forordning

| c) | rådgive Kommissionen om format og procedurer for videregivelse af oplysninger mellem dataansvarlige, databehandlere og tilsynsmyndigheder vedrørende bindende virksomhedsregler |
| --- | --- |

c)

rådgive Kommissionen om format og procedurer for videregivelse af oplysninger mellem dataansvarlige, databehandlere og tilsynsmyndigheder vedrørende bindende virksomhedsregler

| d) | udstede retningslinjer, henstillinger og bedste praksis vedrørende procedurer for sletning af link til og kopier eller gengivelser af personoplysninger fra offentligt tilgængelige kommunikationstjenester som omhandlet i artikel 17, stk. 2 |
| --- | --- |

d)

udstede retningslinjer, henstillinger og bedste praksis vedrørende procedurer for sletning af link til og kopier eller gengivelser af personoplysninger fra offentligt tilgængelige kommunikationstjenester som omhandlet i artikel 17, stk. 2

| e) | på eget initiativ, efter anmodning fra et af sine medlemmer eller efter anmodning fra Kommissionen undersøge ethvert spørgsmål vedrørende anvendelsen af denne forordning og udstede retningslinjer, henstillinger og bedste praksis for at fremme ensartet anvendelse af denne forordning |
| --- | --- |

e)

på eget initiativ, efter anmodning fra et af sine medlemmer eller efter anmodning fra Kommissionen undersøge ethvert spørgsmål vedrørende anvendelsen af denne forordning og udstede retningslinjer, henstillinger og bedste praksis for at fremme ensartet anvendelse af denne forordning

| f) | udstede retningslinjer, henstillinger og bedste praksis i overensstemmelse med dette stykkes litra e) med henblik på nærmere at angive kriterierne og betingelserne for afgørelser baseret på profilering i henhold til artikel 22, stk. 2 |
| --- | --- |

f)

udstede retningslinjer, henstillinger og bedste praksis i overensstemmelse med dette stykkes litra e) med henblik på nærmere at angive kriterierne og betingelserne for afgørelser baseret på profilering i henhold til artikel 22, stk. 2

| g) | udstede retningslinjer, henstillinger og bedste praksis i overensstemmelse med dette stykkes litra e) med henblik på fastlæggelse af brud på persondatasikkerheden og den unødige forsinkelse omhandlet i artikel 33, stk. 1 og 2, og vedrørende de særlige omstændigheder, hvor en dataansvarlig eller en databehandler har pligt til at anmelde brud på persondatasikkerheden |
| --- | --- |

g)

udstede retningslinjer, henstillinger og bedste praksis i overensstemmelse med dette stykkes litra e) med henblik på fastlæggelse af brud på persondatasikkerheden og den unødige forsinkelse omhandlet i artikel 33, stk. 1 og 2, og vedrørende de særlige omstændigheder, hvor en dataansvarlig eller en databehandler har pligt til at anmelde brud på persondatasikkerheden

| h) | udstede retningslinjer, henstillinger og bedste praksis i overensstemmelse med dette stykkes litra e) vedrørende de omstændigheder, hvor brud på persondatasikkerheden sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder som omhandlet i artikel 34, stk. 1 |
| --- | --- |

h)

udstede retningslinjer, henstillinger og bedste praksis i overensstemmelse med dette stykkes litra e) vedrørende de omstændigheder, hvor brud på persondatasikkerheden sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder som omhandlet i artikel 34, stk. 1

| i) | udstede retningslinjer, henstillinger og bedste praksis i overensstemmelse med dette stykkes litra e) med henblik på nærmere at angive kriterierne for og kravene til overførsel af personoplysninger baseret på bindende virksomhedsregler, som dataansvarlige overholder, og bindende virksomhedsregler, som databehandlere overholder, og vedrørende yderligere krav til at sikre beskyttelse af de berørte registreredes personoplysninger som omhandlet i artikel 47 |
| --- | --- |

i)

udstede retningslinjer, henstillinger og bedste praksis i overensstemmelse med dette stykkes litra e) med henblik på nærmere at angive kriterierne for og kravene til overførsel af personoplysninger baseret på bindende virksomhedsregler, som dataansvarlige overholder, og bindende virksomhedsregler, som databehandlere overholder, og vedrørende yderligere krav til at sikre beskyttelse af de berørte registreredes personoplysninger som omhandlet i artikel 47

| j) | udstede retningslinjer, henstillinger og bedste praksis i overensstemmelse med dette stykkes litra e) med henblik på nærmere at angive kriterierne for og kravene til overførsel af personoplysninger på grundlag af artikel 49, stk. 1 |
| --- | --- |

j)

udstede retningslinjer, henstillinger og bedste praksis i overensstemmelse med dette stykkes litra e) med henblik på nærmere at angive kriterierne for og kravene til overførsel af personoplysninger på grundlag af artikel 49, stk. 1

| k) | udarbejde retningslinjer for tilsynsmyndighederne vedrørende anvendelse af foranstaltninger, jf. artikel 58, stk. 1, 2 og 3, og fastsættelse af administrative bøder i henhold til artikel 83 |
| --- | --- |

k)

udarbejde retningslinjer for tilsynsmyndighederne vedrørende anvendelse af foranstaltninger, jf. artikel 58, stk. 1, 2 og 3, og fastsættelse af administrative bøder i henhold til artikel 83

| l) | gennemgå den praktiske anvendelse af de retningslinjer og henstillinger og den bedste praksis, der er omhandlet i litra e) og f) |
| --- | --- |

l)

gennemgå den praktiske anvendelse af de retningslinjer og henstillinger og den bedste praksis, der er omhandlet i litra e) og f)

| m) | udstede retningslinjer, henstillinger og bedste praksis i overensstemmelse med dette stykkes litra e) med henblik på fastlæggelse af fælles procedurer for fysiske personers indberetning af overtrædelser af denne forordning, jf. artikel 54, stk. 2, |
| --- | --- |

m)

udstede retningslinjer, henstillinger og bedste praksis i overensstemmelse med dette stykkes litra e) med henblik på fastlæggelse af fælles procedurer for fysiske personers indberetning af overtrædelser af denne forordning, jf. artikel 54, stk. 2,

| n) | tilskynde til udarbejdelse af adfærdskodekser og fastlæggelse af certificeringsmekanismer for databeskyttelse og databeskyttelsesmærkninger og -mærker i henhold til artikel 40 og 42 |
| --- | --- |

n)

tilskynde til udarbejdelse af adfærdskodekser og fastlæggelse af certificeringsmekanismer for databeskyttelse og databeskyttelsesmærkninger og -mærker i henhold til artikel 40 og 42

| o) | foretage akkreditering af certificeringsorganer og regelmæssig revision heraf i henhold til artikel 43 og føre et offentligt register over akkrediterede organer i henhold til artikel 43, stk. 6, og over de akkrediterede dataansvarlige eller databehandlere i tredjelande i henhold til artikel 42, stk. 7 |
| --- | --- |

o)

foretage akkreditering af certificeringsorganer og regelmæssig revision heraf i henhold til artikel 43 og føre et offentligt register over akkrediterede organer i henhold til artikel 43, stk. 6, og over de akkrediterede dataansvarlige eller databehandlere i tredjelande i henhold til artikel 42, stk. 7

| p) | angive de krav, der er omhandlet i artikel 43, stk. 3, med henblik på akkreditering af certificeringsorganer i henhold til artikel 42 |
| --- | --- |

p)

angive de krav, der er omhandlet i artikel 43, stk. 3, med henblik på akkreditering af certificeringsorganer i henhold til artikel 42

| q) | afgive udtalelse til Kommissionen om de certificeringskrav, der er omhandlet i artikel 43, stk. 8 |
| --- | --- |

q)

afgive udtalelse til Kommissionen om de certificeringskrav, der er omhandlet i artikel 43, stk. 8

| r) | afgive udtalelse til Kommissionen om de ikoner, der er omhandlet i artikel 12, stk. 7 |
| --- | --- |

r)

afgive udtalelse til Kommissionen om de ikoner, der er omhandlet i artikel 12, stk. 7

| s) | afgive udtalelse til Kommissionen med henblik på vurdering af tilstrækkeligheden af beskyttelsesniveauet i et tredjeland eller en international organisation, herunder vurdering af, om et tredjeland, et område eller en eller flere specifikke sektorer i det pågældende tredjeland, eller en international organisation ikke længere sikrer et tilstrækkeligt beskyttelsesniveau. Til dette formål forelægger Kommissionen Databeskyttelsesrådet al nødvendig dokumentation vedrørende tredjelandet, området eller den specifikke sektor, eller den internationale organisation, herunder korrespondance med regeringen i tredjelandet, |
| --- | --- |

s)

afgive udtalelse til Kommissionen med henblik på vurdering af tilstrækkeligheden af beskyttelsesniveauet i et tredjeland eller en international organisation, herunder vurdering af, om et tredjeland, et område eller en eller flere specifikke sektorer i det pågældende tredjeland, eller en international organisation ikke længere sikrer et tilstrækkeligt beskyttelsesniveau. Til dette formål forelægger Kommissionen Databeskyttelsesrådet al nødvendig dokumentation vedrørende tredjelandet, området eller den specifikke sektor, eller den internationale organisation, herunder korrespondance med regeringen i tredjelandet,

| t) | afgive udtalelser om tilsynsmyndigheders udkast til afgørelse i overensstemmelse med den sammenhængsmekanisme, der er omhandlet i artikel 64, stk. 1, og om sager, der er forelagt i henhold til artikel 64, stk. 2, og udstede bindende afgørelser i henhold til artikel 65, herunder i de tilfælde, der er omhandlet i artikel 66 |
| --- | --- |

t)

afgive udtalelser om tilsynsmyndigheders udkast til afgørelse i overensstemmelse med den sammenhængsmekanisme, der er omhandlet i artikel 64, stk. 1, og om sager, der er forelagt i henhold til artikel 64, stk. 2, og udstede bindende afgørelser i henhold til artikel 65, herunder i de tilfælde, der er omhandlet i artikel 66

| u) | fremme samarbejdet og effektiv bilateral og multilateral udveksling af oplysninger og bedste praksis mellem tilsynsmyndighederne |
| --- | --- |

u)

fremme samarbejdet og effektiv bilateral og multilateral udveksling af oplysninger og bedste praksis mellem tilsynsmyndighederne

| v) | fremme fælles uddannelsesprogrammer og udveksling af personale mellem tilsynsmyndighederne og i relevante tilfælde med tilsynsmyndighederne i tredjelande eller med internationale organisationer |
| --- | --- |

v)

fremme fælles uddannelsesprogrammer og udveksling af personale mellem tilsynsmyndighederne og i relevante tilfælde med tilsynsmyndighederne i tredjelande eller med internationale organisationer

| w) | fremme udveksling af viden og dokumentation vedrørende databeskyttelseslovgivning og -praksis med datatilsynsmyndigheder over hele verden |
| --- | --- |

w)

fremme udveksling af viden og dokumentation vedrørende databeskyttelseslovgivning og -praksis med datatilsynsmyndigheder over hele verden

| x) | afgive udtalelser om adfærdskodekser, der udarbejdes på EU-plan, jf. artikel 40, stk. 9, og |
| --- | --- |

x)

afgive udtalelser om adfærdskodekser, der udarbejdes på EU-plan, jf. artikel 40, stk. 9, og

| y) | føre et offentligt tilgængeligt elektronisk register over afgørelser truffet af tilsynsmyndigheder og domstole om spørgsmål, der er blevet behandlet i sammenhængsmekanismen. |
| --- | --- |

y)

føre et offentligt tilgængeligt elektronisk register over afgørelser truffet af tilsynsmyndigheder og domstole om spørgsmål, der er blevet behandlet i sammenhængsmekanismen.

2.   Hvis Kommissionen anmoder Databeskyttelsesrådet om rådgivning, kan den fastsætte en frist under hensyntagen til, hvor meget den pågældende sag haster.

3.   Databeskyttelsesrådet fremsender sine udtalelser, retningslinjer, henstillinger og bedste praksis til Kommissionen og det udvalg, der er omhandlet i artikel 93, og offentliggør dem.

4.   Databeskyttelsesrådet hører efter omstændighederne berørte parter og giver dem mulighed for at fremsætte bemærkninger inden for en rimelig frist. Databeskyttelsesrådet offentliggør med forbehold af artikel 76 resultaterne af høringsproceduren.

Artikel 71

Rapporter

1.   Databeskyttelsesrådet udarbejder en årlig rapport om beskyttelse af fysiske personer i forbindelse med behandling i Unionen og, hvis det er relevant, i tredjelande og internationale organisationer. Rapporten offentliggøres og forelægges Europa-Parlamentet, Rådet og Kommissionen.

2.   Den årlige rapport skal omfatte en gennemgang af den praktiske anvendelse af de retningslinjer og henstillinger og den bedste praksis, der er omhandlet i artikel 70, stk. 1, litra l), og de bindende afgørelser, der er omhandlet i artikel 65.

Artikel 72

Procedure

1.   Databeskyttelsesrådet træffer afgørelse med simpelt flertal blandt sine medlemmer, medmindre andet er fastsat i denne forordning.

2.   Databeskyttelsesrådet vedtager sin forretningsorden med et flertal på to tredjedele blandt sine medlemmer og tilrettelægger sin drift.

Artikel 73

Formand

1.   Databeskyttelsesrådet vælger med simpelt flertal en formand og to næstformænd blandt sine medlemmer.

2.   Embedsperioden for formanden og de to næstformænd er fem år med mulighed for forlængelse én gang.

Artikel 74

Formandens opgaver

1.   Formanden har følgende opgaver:

| a) | at indkalde til møder i Databeskyttelsesrådet og udarbejde dagsordenen herfor |
| --- | --- |

a)

at indkalde til møder i Databeskyttelsesrådet og udarbejde dagsordenen herfor

| b) | at underrette den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder om de afgørelser, der vedtages af Databeskyttelsesrådet i henhold til artikel 65 |
| --- | --- |

b)

at underrette den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder om de afgørelser, der vedtages af Databeskyttelsesrådet i henhold til artikel 65

| c) | at sikre, at Databeskyttelsesrådets opgaver udføres rettidigt, navnlig i forbindelse med den sammenhængsmekanisme, der er omhandlet i artikel 63. |
| --- | --- |

c)

at sikre, at Databeskyttelsesrådets opgaver udføres rettidigt, navnlig i forbindelse med den sammenhængsmekanisme, der er omhandlet i artikel 63.

2.   Databeskyttelsesrådet fastlægger fordelingen af opgaver mellem formanden og næstformændene i sin forretningsorden.

Artikel 75

Sekretariat

1.   Databeskyttelsesrådet har et sekretariat, som stilles til rådighed af Den Europæiske Tilsynsførende for Databeskyttelse.

2.   Sekretariatet udfører udelukkende sine opgaver efter instruks fra formanden for Databeskyttelsesrådet.

3.   Det personale ved Den Europæiske Tilsynsførende for Databeskyttelse, der deltager i udførelsen af Databeskyttelsesrådets opgaver i henhold til denne forordning, skal have særskilte rapporteringsveje i forhold til det personale, der deltager i udførelsen af opgaver, som Den Europæiske Tilsynsførende for Databeskyttelse har fået tildelt.

4.   Databeskyttelsesrådet og Den Europæiske Tilsynsførende for Databeskyttelse udarbejder og offentliggør om nødvendigt et aftalememorandum til gennemførelse af denne artikel, som fastsætter vilkårene for deres samarbejde, og som gælder for det personale ved Den Europæiske Tilsynsførende for Databeskyttelse, der deltager i udførelsen af Databeskyttelsesrådets opgaver i henhold til denne forordning.

5.   Sekretariatet yder analytisk, administrativ og logistisk støtte til Databeskyttelsesrådet.

6.   Sekretariatet er navnlig ansvarligt for:

| a) | Databeskyttelsesrådets daglige arbejde |
| --- | --- |

a)

Databeskyttelsesrådets daglige arbejde

| b) | kommunikation mellem medlemmerne af Databeskyttelsesrådet, dets formand og Kommissionen |
| --- | --- |

b)

kommunikation mellem medlemmerne af Databeskyttelsesrådet, dets formand og Kommissionen

| c) | kommunikation med andre institutioner og offentligheden |
| --- | --- |

c)

kommunikation med andre institutioner og offentligheden

| d) | brug af elektroniske midler til intern og ekstern kommunikation |
| --- | --- |

d)

brug af elektroniske midler til intern og ekstern kommunikation

| e) | oversættelse af relevante oplysninger |
| --- | --- |

e)

oversættelse af relevante oplysninger

| f) | forberedelse og opfølgning af Databeskyttelsesrådets møder |
| --- | --- |

f)

forberedelse og opfølgning af Databeskyttelsesrådets møder

| g) | forberedelse, udarbejdelse og offentliggørelse af udtalelser, afgørelser om bilæggelse af tvister mellem tilsynsmyndigheder og andre dokumenter, der vedtages af Databeskyttelsesrådet. |
| --- | --- |

g)

forberedelse, udarbejdelse og offentliggørelse af udtalelser, afgørelser om bilæggelse af tvister mellem tilsynsmyndigheder og andre dokumenter, der vedtages af Databeskyttelsesrådet.

Artikel 76

Fortrolighed

1.   Databeskyttelsesrådets drøftelser er fortrolige, hvis Databeskyttelsesrådet vurderer, at det er nødvendigt, jf. dets forretningsorden.

2.   Aktindsigt i dokumenter, der forelægges medlemmer af Databeskyttelsesrådet, eksperter og repræsentanter for tredjemand, er omfattet af Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 (21).

KAPITEL VIII

Retsmidler, ansvar og sanktioner

Artikel 77

Ret til at indgive klage til en tilsynsmyndighed

1.   Uden at det berører andre administrative klageadgange eller adgang til retsmidler, har enhver registreret ret til at indgive klage til en tilsynsmyndighed, navnlig i den medlemsstat, hvor vedkommende har sit sædvanlige opholdssted eller sit arbejdssted, eller hvor den påståede overtrædelse har fundet sted, hvis den registrerede finder, at behandlingen af personoplysninger vedrørende vedkommende overtræder denne forordning.

2.   Den tilsynsmyndighed, som klagen er indgivet til, underretter klageren om forløbet og resultatet af klagen, herunder om muligheden for anvendelse af retsmidler, jf. artikel 78.

Artikel 78

Adgang til effektive retsmidler over for en tilsynsmyndighed

1.   Uden at det berører andre administrative eller udenretslige klageadgange, har enhver fysisk eller juridisk person ret til effektive retsmidler over for en juridisk bindende afgørelse truffet af en tilsynsmyndighed vedrørende vedkommende.

2.   Uden at det berører andre administrative eller udenretslige klageadgange, har den enkelte registrerede adgang til effektive retsmidler, hvis den tilsynsmyndighed, der er kompetent i henhold til artikel 55 og 56, ikke behandler en klage eller undlader at underrette den registrerede om forløbet eller resultatet af en klage, der er indgivet i henhold til artikel 77, inden for tre måneder.

3.   En sag mod en tilsynsmyndighed anlægges ved en domstol i den medlemsstat, hvor tilsynsmyndigheden er etableret.

4.   Hvis sag anlægges mod en afgørelse fra en tilsynsmyndighed, der er truffet efter en udtalelse eller en afgørelse fra Databeskyttelsesrådet i forbindelse med sammenhængsmekanismen, fremsender tilsynsmyndigheden denne udtalelse eller afgørelse til domstolen.

Artikel 79

Adgang til effektive retsmidler over for en dataansvarlig eller databehandler

1.   Uden at det berører andre tilgængelige administrative eller udenretslige klageadgange, herunder retten til at indgive klage til en tilsynsmyndighed i henhold til artikel 77, skal den enkelte registrerede have adgang til effektive retsmidler, hvis vedkommende finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket som følge af behandling af vedkommendes personoplysninger i strid med denne forordning.

2.   En sag mod en dataansvarlig eller en databehandler anlægges ved en domstol i den medlemsstat, hvor den dataansvarlige eller databehandleren er etableret. Alternativt kan en sådan sag anlægges ved en domstol i den medlemsstat, hvor den registrerede har sit sædvanlige opholdssted, medmindre den dataansvarlige eller databehandleren er en offentlig myndighed i en medlemsstat, der udøver sine offentligretlige beføjelser.

Artikel 80

Repræsentation af registrerede

1.   Den registrerede har ret til at bemyndige et organ, en organisation eller en sammenslutning, der er etableret i overensstemmelse med en medlemsstats nationale ret, som ikke arbejder med gevinst for øje, hvis vedtægtsmæssige formål er af almen interesse, og som er aktiv på området for beskyttelse af registreredes rettigheder og frihedsrettigheder med hensyn til beskyttelse af deres personoplysninger, til at indgive en klage på sine vegne, til at udøve de rettigheder, der er omhandlet i artikel 77, 78 og 79, på sine vegne og til, hvis det er fastsat i medlemsstaternes nationale ret, at udøve retten til at modtage erstatning som omhandlet i artikel 82 på sine vegne.

2.   Medlemsstaterne kan fastsætte, at ethvert organ, enhver organisation eller enhver sammenslutning, jf. denne artikels stk. 1, uafhængigt af en bemyndigelse fra den registrerede har ret til at indgive en klage i den pågældende medlemsstat til den tilsynsmyndighed, der er kompetent i henhold til artikel 77, og til at udøve de rettigheder, der er omhandlet i artikel 78 og 79, hvis den/det har grund til at formode, at den registreredes rettigheder i henhold til denne forordning er blevet krænket som følge af behandling.

Artikel 81

Udsættelse af en sag

1.   Hvis en kompetent domstol i en medlemsstat har oplysninger om, at der verserer en sag vedrørende samme genstand for så vidt angår behandling foretaget af den samme dataansvarlige eller databehandler ved en domstol i en anden medlemsstat, skal den rette henvendelse til pågældende domstol i den anden medlemsstat for at bekræfte eksistensen af en sådan sag.

2.   Hvis der verserer en sag vedrørende samme genstand for så vidt angår behandling foretaget af den samme dataansvarlige eller databehandler ved en domstol i en anden medlemsstat, kan enhver anden kompetent domstol end den, ved hvilken sagen først er anlagt, udsætte sagen.

3.   Hvis denne sag verserer ved første instans, kan enhver anden domstol end den, ved hvilken sagen først er anlagt, efter anmodning fra en af parterne også erklære sig inkompetent, hvis den domstol, ved hvilken sagen først er anlagt, har kompetence til at behandle de pågældende sager, og forening heraf er tilladt i henhold til dens lovgivning.

Artikel 82

Ret til erstatning og erstatningsansvar

1.   Enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren.

2.   Enhver dataansvarlig, der er involveret i behandling, hæfter for den skade, der er forvoldt af behandling, der overtræder denne forordning. En databehandler hæfter kun for den skade, der er forvoldt af behandling, hvis pågældende ikke har opfyldt forpligtelser i denne forordning, der er rettet specifikt mod databehandlere, eller hvis pågældende har undladt at følge eller handlet i strid med den dataansvarliges lovlige instrukser.

3.   En dataansvarlig eller databehandler er fritaget for erstatningsansvar i henhold til stk. 2, hvis det bevises, at den pågældende ikke er skyld i den begivenhed, der medførte skaden.

4.   Hvis mere end én dataansvarlig eller databehandler eller både en dataansvarlig og en databehandler er involveret i den samme behandling, og hvis de i henhold til stk. 2 og 3 er ansvarlige for skader, der er forvoldt af behandling, hæfter de solidarisk for hele skaden for at sikre fuld erstatning til den registrerede.

5.   Hvis en dataansvarlig eller en databehandler i overensstemmelse med stk. 4 har betalt fuld erstatning for den forvoldte skade, har den pågældende dataansvarlige eller databehandler ret til at kræve den del af erstatningen, der svarer til andres del af ansvaret for skaden, tilbage fra de andre dataansvarlige eller databehandlere, der er involveret i den samme behandling, i overensstemmelse med betingelserne i stk. 2.

6.   Retssager med henblik på udøvelse af retten til at modtage erstatning anlægges ved de domstole, der er kompetente i henhold til national ret i den medlemsstat, der er omhandlet i artikel 79, stk. 2.

Artikel 83

Generelle betingelser for pålæggelse af administrative bøder

1.   Hver tilsynsmyndighed sikrer, at pålæggelse af administrative bøder i henhold til denne artikel for overtrædelse af denne forordning som omhandlet i stk. 4, 5 og 6 i hver enkelt sag er effektiv, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning.

2.   Afhængigt af omstændighederne i hver enkelt sag pålægges administrative bøder i tillæg til eller i stedet for foranstaltninger som omhandlet i artikel 58, stk. 2, litra a)-h) og j). Når der træffes afgørelse om, hvorvidt der skal pålægges en administrativ bøde, og om den administrative bødes størrelse i hver enkelt sag, tages der behørigt hensyn til følgende:

| a) | overtrædelsens karakter, alvor og varighed under hensyntagen til pågældende behandlings karakter, omfang eller formål samt antal registrerede, der er berørt, og omfanget af den skade, som de har lidt |
| --- | --- |

a)

overtrædelsens karakter, alvor og varighed under hensyntagen til pågældende behandlings karakter, omfang eller formål samt antal registrerede, der er berørt, og omfanget af den skade, som de har lidt

| b) | hvorvidt overtrædelsen blev begået forsætligt eller uagtsomt |
| --- | --- |

b)

hvorvidt overtrædelsen blev begået forsætligt eller uagtsomt

| c) | eventuelle foranstaltninger, der er truffet af den dataansvarlige eller databehandleren for at begrænse den skade, som den registrerede har lidt |
| --- | --- |

c)

eventuelle foranstaltninger, der er truffet af den dataansvarlige eller databehandleren for at begrænse den skade, som den registrerede har lidt

| d) | den dataansvarliges eller databehandlerens grad af ansvar under hensyntagen til tekniske og organisatoriske foranstaltninger, som de har gennemført i henhold til artikel 25 og 32 |
| --- | --- |

d)

den dataansvarliges eller databehandlerens grad af ansvar under hensyntagen til tekniske og organisatoriske foranstaltninger, som de har gennemført i henhold til artikel 25 og 32

| e) | den dataansvarliges eller databehandlerens eventuelle relevante tidligere overtrædelser |
| --- | --- |

e)

den dataansvarliges eller databehandlerens eventuelle relevante tidligere overtrædelser

| f) | graden af samarbejde med tilsynsmyndigheden for at afhjælpe overtrædelsen og begrænse de negative konsekvenser, som overtrædelsen måtte have givet anledning til |
| --- | --- |

f)

graden af samarbejde med tilsynsmyndigheden for at afhjælpe overtrædelsen og begrænse de negative konsekvenser, som overtrædelsen måtte have givet anledning til

| g) | de kategorier af personoplysninger, der er berørt af overtrædelsen |
| --- | --- |

g)

de kategorier af personoplysninger, der er berørt af overtrædelsen

| h) | den måde, hvorpå tilsynsmyndigheden fik kendskab til overtrædelsen, navnlig om den dataansvarlige eller databehandleren har underrettet om overtrædelsen, og i givet fald i hvilket omfang |
| --- | --- |

h)

den måde, hvorpå tilsynsmyndigheden fik kendskab til overtrædelsen, navnlig om den dataansvarlige eller databehandleren har underrettet om overtrædelsen, og i givet fald i hvilket omfang

| i) | overholdelse af de foranstaltninger, der er omhandlet i artikel 58, stk. 2, hvis der tidligere over for den pågældende dataansvarlige eller databehandler er blevet truffet sådanne foranstaltninger med hensyn til samme genstand |
| --- | --- |

i)

overholdelse af de foranstaltninger, der er omhandlet i artikel 58, stk. 2, hvis der tidligere over for den pågældende dataansvarlige eller databehandler er blevet truffet sådanne foranstaltninger med hensyn til samme genstand

| j) | overholdelse af godkendte adfærdskodekser i henhold til artikel 40 eller godkendte certificeringsmekanismer i henhold til artikel 42, og |
| --- | --- |

j)

overholdelse af godkendte adfærdskodekser i henhold til artikel 40 eller godkendte certificeringsmekanismer i henhold til artikel 42, og

| k) | om der er andre skærpende eller formildende faktorer ved sagens omstændigheder, såsom opnåede økonomiske fordele eller undgåede tab som direkte eller indirekte følge af overtrædelsen. |
| --- | --- |

k)

om der er andre skærpende eller formildende faktorer ved sagens omstændigheder, såsom opnåede økonomiske fordele eller undgåede tab som direkte eller indirekte følge af overtrædelsen.

3.   Hvis en dataansvarlig eller en databehandler forsætligt eller uagtsomt i forbindelse med de samme eller forbundne behandlingsaktiviteter overtræder flere bestemmelser i denne forordning, må den administrative bødes samlede størrelse ikke overstige beløbet for den alvorligste overtrædelse.

4.   Overtrædelse af følgende bestemmelser straffes i overensstemmelse med stk. 2 med administrative bøder på op til 10 000 000 EUR, eller hvis det drejer sig om en virksomhed, med op til 2 % af dens samlede globale årlige omsætning i det foregående regnskabsår, såfremt dette beløb er højere:

| a) | den dataansvarliges og databehandlerens forpligtelser i henhold til artikel 8, 11, 25-39 og 42 og 43 |
| --- | --- |

a)

den dataansvarliges og databehandlerens forpligtelser i henhold til artikel 8, 11, 25-39 og 42 og 43

| b) | certificeringsorganets forpligtelser i henhold til artikel 42 og 43 |
| --- | --- |

b)

certificeringsorganets forpligtelser i henhold til artikel 42 og 43

| c) | kontrolorganets forpligtelser i henhold til artikel 41, stk. 4. |
| --- | --- |

c)

kontrolorganets forpligtelser i henhold til artikel 41, stk. 4.

5.   Overtrædelse af følgende bestemmelser straffes i overensstemmelse med stk. 2 med administrative bøder på op til 20 000 000 EUR, eller hvis det drejer sig om en virksomhed, med op til 4 % af dens samlede globale årlige omsætning i det foregående regnskabsår, såfremt dette beløb er højere:

| a) | de grundlæggende principper for behandling, herunder betingelserne for samtykke, i artikel 5, 6, 7 og 9 |
| --- | --- |

a)

de grundlæggende principper for behandling, herunder betingelserne for samtykke, i artikel 5, 6, 7 og 9

| b) | de registreredes rettigheder i henhold til artikel 12-22 |
| --- | --- |

b)

de registreredes rettigheder i henhold til artikel 12-22

| c) | overførsel af personoplysninger til en modtager i et tredjeland eller en international organisation i henhold til artikel 44-49 |
| --- | --- |

c)

overførsel af personoplysninger til en modtager i et tredjeland eller en international organisation i henhold til artikel 44-49

| d) | eventuelle forpligtigelser i medfør af medlemsstaternes nationale ret vedtaget i henhold til kapitel IX |
| --- | --- |

d)

eventuelle forpligtigelser i medfør af medlemsstaternes nationale ret vedtaget i henhold til kapitel IX

| e) | manglende overholdelse af et påbud eller en midlertidig eller definitiv begrænsning af behandling eller tilsynsmyndighedens suspension af overførsel af oplysninger i henhold til artikel 58, stk. 2, eller manglende adgang i strid med artikel 58, stk. 1. |
| --- | --- |

e)

manglende overholdelse af et påbud eller en midlertidig eller definitiv begrænsning af behandling eller tilsynsmyndighedens suspension af overførsel af oplysninger i henhold til artikel 58, stk. 2, eller manglende adgang i strid med artikel 58, stk. 1.

6.   Manglende overholdelse af et påbud fra tilsynsmyndigheden som omhandlet i artikel 58, stk. 2, straffes i overensstemmelse med nærværende artikels stk. 2 med administrative bøder på op til 20 000 000 EUR, eller hvis det drejer sig om en virksomhed, med op til 4 % af dens samlede globale årlige omsætning i det foregående regnskabsår, såfremt dette beløb er højere.

7.   Uden at det berører tilsynsmyndighedernes korrigerende beføjelser i henhold til artikel 58, stk. 2, kan hver medlemsstat fastsætte regler om, hvorvidt og i hvilket omfang administrative bøder må pålægges offentlige myndigheder og organer, der er etableret i den pågældende medlemsstat.

8.   Tilsynsmyndighedens udøvelse af beføjelser i henhold til denne artikel skal være underlagt fornødne proceduremæssige garantier i overensstemmelse med EU-retten og medlemsstaternes nationale ret, bl.a. effektive retsmidler og retfærdig procedure.

9.   Hvis en medlemsstats retssystem ikke giver mulighed for at pålægge administrative bøder, kan denne artikel anvendes på en sådan måde, at den kompetente tilsynsmyndighed tager skridt til bøder, og de kompetente nationale domstole pålægger dem, idet det sikres, at disse retsmidler er effektive, og at deres virkning svarer til virkningen af administrative bøder, som pålægges af tilsynsmyndighederne. Bøder skal under alle omstændigheder være effektive, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning. De pågældende medlemsstater giver Kommissionen meddelelse om bestemmelserne i deres love, som de vedtager i henhold til dette stykke, senest den 25. maj 2018 og underretter den straks om alle senere ændringslove eller ændringer, der berører dem.

Artikel 84

Sanktioner

1.   Medlemsstaterne fastsætter regler om andre sanktioner, der skal anvendes i tilfælde af overtrædelser af denne forordning, navnlig overtrædelser, som ikke er underlagt administrative bøder i henhold til artikel 83, og træffer alle nødvendige foranstaltninger for at sikre, at de anvendes. Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning.

2.   Hver medlemsstat giver senest den 25. maj 2018 Kommissionen meddelelse om de bestemmelser, som den vedtager i henhold til stk. 1, og underretter den straks om alle senere ændringer, der berører dem.

KAPITEL IX

Bestemmelser vedrørende specifikke behandlingssituationer

Artikel 85

Behandling og ytrings- og informationsfriheden

1.   Medlemsstaterne forener ved lov retten til beskyttelse af personoplysninger i henhold til denne forordning med retten til ytrings- og informationsfrihed, herunder behandling i journalistisk øjemed og med henblik på akademisk, kunstnerisk eller litterær virksomhed.

2.   Til behandling i journalistisk øjemed eller med henblik på akademisk, kunstnerisk eller litterær virksomhed fastsætter medlemsstaterne undtagelser eller fravigelser fra kapitel II (principper), kapitel III (den registreredes rettigheder), kapitel IV (dataansvarlig og databehandler), kapitel V (overførsel af personoplysninger til tredjelande eller internationale organisationer), kapitel VI (uafhængige tilsynsmyndigheder), kapitel VII (samarbejde og sammenhæng) og kapitel IX (specifikke databehandlingssituationer), hvis de er nødvendige for at forene retten til beskyttelse af personoplysninger med ytrings- og informationsfriheden.

3.   Hver medlemsstat giver Kommissionen meddelelse om de lovbestemmelser, som den har vedtaget i henhold til stk. 2, og underretter den straks om alle senere ændringslove eller ændringer, der berører dem.

Artikel 86

Behandling og aktindsigt i officielle dokumenter

Personoplysninger i officielle dokumenter, som en offentlig myndighed eller et offentligt eller privat organ er i besiddelse af med henblik på udførelse af en opgave i samfundets interesse, må videregives af myndigheden eller organet i overensstemmelse med EU-retten eller medlemsstaternes nationale ret, som den offentlige myndighed eller organet er underlagt, for at forene aktindsigt i officielle dokumenter med retten til beskyttelse af personoplysninger i henhold til denne forordning.

Artikel 87

Behandling af nationalt identifikationsnummer

Medlemsstaterne kan nærmere fastsætte de specifikke betingelser for behandling af et nationalt identifikationsnummer eller andre almene midler til identifikation. I så fald anvendes det nationale identifikationsnummer eller ethvert andet alment middel til identifikation udelukkende med de fornødne garantier for den registreredes rettigheder og frihedsrettigheder i henhold til denne forordning.

Artikel 88

Behandling i forbindelse med ansættelsesforhold

1.   Medlemsstaterne kan ved lov eller i medfør af kollektive overenskomster fastsætte mere specifikke bestemmelser for at sikre beskyttelse af rettighederne og frihedsrettighederne i forbindelse med behandling af arbejdstageres personoplysninger i ansættelsesforhold, navnlig med henblik på ansættelse, ansættelseskontrakter, herunder opfyldelse af forpligtelser fastsat ved lov eller i kollektive overenskomster, ledelse, planlægning og tilrettelæggelse af arbejdet, ligestilling og mangfoldighed på arbejdspladsen, arbejdsmiljø samt beskyttelse af arbejdsgiveres eller kunders ejendom og med henblik på individuel eller kollektiv udøvelse og nydelse af rettigheder og fordele i forbindelse med ansættelse samt med henblik på ophør af ansættelsesforhold.

2.   Disse bestemmelser skal omfatte passende og specifikke foranstaltninger til beskyttelse af den registreredes menneskelige værdighed, legitime interesser og grundlæggende rettigheder, særlig med hensyn til gennemsigtighed i behandlingen, overførsel af personoplysninger inden for en koncern eller gruppe af foretagender, der udøver en fælles økonomisk aktivitet, og overvågningssystemer på arbejdspladsen.

3.   Hver medlemsstat giver senest den 25. maj 2018 Kommissionen meddelelse om de bestemmelser, som den vedtager i henhold til stk. 1, og underretter den straks om alle senere ændringer, der berører dem.

Artikel 89

Garantier og undtagelser i forbindelse med behandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål

1.   Behandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål skal være underlagt fornødne garantier for registreredes rettigheder og frihedsrettigheder i overensstemmelse med denne forordning. Disse garantier skal sikre, at der er truffet tekniske og organisatoriske foranstaltninger, især for at sikre overholdelse af princippet om dataminimering. Disse foranstaltninger kan omfatte pseudonymisering, forudsat at disse formål kan opfyldes på denne måde. Når disse formål kan opfyldes ved viderebehandling, som ikke gør det muligt eller ikke længere gør det muligt at identificere de registrerede, skal formålene opfyldes på denne måde.

2.   Når personoplysninger behandles til videnskabelige eller historiske forskningsformål eller til statistiske formål, kan EU-retten eller medlemsstaternes nationale ret fastsætte undtagelser fra de rettigheder, der er omhandlet i artikel 15, 16, 18 og 21, under iagttagelse af de betingelser og garantier, der er omhandlet i nærværende artikels stk. 1, såfremt sådanne rettigheder sandsynligvis vil gøre det umuligt eller i alvorlig grad hindre opfyldelse af de specifikke formål, og sådanne undtagelser er nødvendige for at opfylde formålene.

3.   Når personoplysninger behandles til arkivformål i samfundets interesse, kan EU-retten eller medlemsstaternes nationale ret fastsætte undtagelser fra de rettigheder, der er omhandlet i artikel 15, 16, 18, 19, 20 og 21, under iagttagelse af de betingelser og garantier, der er omhandlet i nærværende artikels stk. 1, såfremt sådanne rettigheder sandsynligvis vil gøre det umuligt eller i alvorlig grad hindre opfyldelse af de specifikke formål, og sådanne undtagelser er nødvendige for at opfylde formålene.

4.   Når behandling som omhandlet i stk. 2 og 3 samtidig tjener et andet formål, anvendes undtagelser kun på behandling til de formål, der er omhandlet i nævnte stykker.

Artikel 90

Tavshedspligt

1.   Medlemsstaterne kan vedtage specifikke regler om tilsynsmyndighedernes beføjelser i henhold til artikel 58, stk. 1, litra e) og f), vedrørende dataansvarlige eller databehandlere, der i henhold til EU-ret eller medlemsstaternes nationale ret eller regler fastsat af nationale kompetente organer er underlagt faglig eller anden tilsvarende tavshedspligt, hvis dette er nødvendigt og rimeligt for at forene retten til beskyttelse af personoplysninger med tavshedspligt. Disse regler gælder kun for personoplysninger, som den dataansvarlige eller databehandleren har modtaget som et resultat af eller indhentet under en aktivitet, der er underlagt denne tavshedspligt.

2.   Hver medlemsstat giver senest den 25. maj 2018 Kommissionen meddelelse om de regler, som den vedtager i henhold til stk. 1, og underretter den straks om alle senere ændringer, der berører dem.

Artikel 91

Kirkers og religiøse sammenslutningers eksisterende databeskyttelsesregler

1.   Hvis kirker og religiøse sammenslutninger eller samfund i en medlemsstat på tidspunktet for denne forordnings ikrafttræden anvender omfattende regler om beskyttelse af fysiske personer hvad angår behandling, kan disse eksisterende regler fortsat finde anvendelse, forudsat at de bringes i overensstemmelse med denne forordning.

2.   Kirker og religiøse sammenslutninger, der anvender omfattende regler i henhold til denne artikels stk. 1, underlægges tilsyn af en uafhængig tilsynsmyndighed, som kan være specifik, forudsat at den opfylder betingelserne i kapitel VI.

KAPITEL X

Delegerede retsakter og gennemførelsesforanstaltninger

Artikel 92

Udøvelse af de delegerede beføjelser

1.   Beføjelsen til at vedtage delegerede retsakter tillægges Kommissionen på de i denne artikel fastlagte betingelser.

2.   Beføjelsen til at vedtage delegerede retsakter, jf. artikel 12, stk. 8, og artikel 43, stk. 8, tillægges Kommissionen for en ubegrænset periode fra den 24.maj 2016.

3.   Den i artikel 12, stk. 8, og artikel 43, stk. 8, omhandlede delegation af beføjelser kan til enhver tid tilbagekaldes af Europa-Parlamentet eller Rådet. En afgørelse om tilbagekaldelse bringer delegationen af de beføjelser, der er angivet i den pågældende afgørelse, til ophør. Den får virkning dagen efter offentliggørelsen af afgørelsen i Den Europæiske Unions Tidende eller på et senere tidspunkt, der angives i afgørelsen. Den berører ikke gyldigheden af delegerede retsakter, der allerede er i kraft.

4.   Så snart Kommissionen vedtager en delegeret retsakt, giver den samtidigt Europa-Parlamentet og Rådet meddelelse herom.

5.   En delegeret retsakt vedtaget i henhold til artikel 12, stk. 8, og artikel 43, stk. 8, træder kun i kraft, hvis hverken Europa-Parlamentet eller Rådet har gjort indsigelse inden for en frist på tre måneder fra meddelelsen af den pågældende retsakt til Europa-Parlamentet eller Rådet, eller hvis Europa-Parlamentet og Rådet inden udløbet af denne frist begge har informeret Kommissionen om, at de ikke agter at gøre indsigelse. Fristen forlænges med tre måneder på Europa-Parlamentets eller Rådets initiativ.

Artikel 93

Udvalgsprocedure

1.   Kommissionen bistås af et udvalg. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.

2.   Når der henvises til dette stykke, finder artikel 5 i forordning (EU) nr. 182/2011 anvendelse.

3.   Når der henvises til dette stykke, finder artikel 8 i forordning (EU) nr. 182/2011 sammenholdt med dennes artikel 5 anvendelse.

KAPITEL XI

Afsluttende bestemmelser

Artikel 94

Ophævelse af direktiv 95/46/EF

1.   Direktiv 95/46/EF ophæves med virkning fra den 25. maj 2018.

2.   Henvisninger til det ophævede direktiv gælder som henvisninger til denne forordning. Henvisninger til Gruppen vedrørende Beskyttelse af Personer i forbindelse med Behandling af Personoplysninger, der er nedsat ved artikel 29 i direktiv 95/46/EF, gælder som henvisninger til Det Europæiske Databeskyttelsesråd oprettet ved denne forordning.

Artikel 95

Forhold til direktiv 2002/58/EF

Denne forordning indfører ikke yderligere forpligtelser for fysiske eller juridiske personer for så vidt angår behandling i forbindelse med levering af offentligt tilgængelige elektroniske kommunikationstjenester i offentlige kommunikationsnet i Unionen for så vidt angår spørgsmål, hvor de er underlagt specifikke forpligtelser med samme formål som det, der er fastsat i direktiv 2002/58/EF.

Artikel 96

Forhold til tidligere indgåede aftaler

Internationale aftaler, der omfatter overførsel af personoplysninger til tredjelande eller internationale organisationer, som er indgået af medlemsstaterne inden den 24. maj 2016, og som overholder den EU-ret, der finder anvendelse inden denne dato, forbliver i kraft, indtil de ændres, erstattes eller ophæves.

Artikel 97

Kommissionsrapporter

1.   Senest den 25. maj 2020 og hvert fjerde år derefter forelægger Kommissionen Europa-Parlamentet og Rådet en rapport om evaluering og revision af denne forordning.

2.   I forbindelse med de i stk. 1 omhandlede evalueringer og revisioner undersøger Kommissionen navnlig, hvordan følgende anvendes og fungerer:

| a) | kapitel V om overførsel af personoplysninger til tredjelande eller internationale organisationer, særlig med hensyn til afgørelser vedtaget i henhold til denne forordnings artikel 45, stk. 3, og afgørelser vedtaget på grundlag af artikel 25, stk. 6, i direktiv 95/46/EF |
| --- | --- |

a)

kapitel V om overførsel af personoplysninger til tredjelande eller internationale organisationer, særlig med hensyn til afgørelser vedtaget i henhold til denne forordnings artikel 45, stk. 3, og afgørelser vedtaget på grundlag af artikel 25, stk. 6, i direktiv 95/46/EF

| b) | kapitel VII om samarbejde og sammenhæng. |
| --- | --- |

b)

kapitel VII om samarbejde og sammenhæng.

3.   Kommissionen kan med henblik på stk. 1 anmode om oplysninger fra medlemsstaterne og tilsynsmyndighederne.

4.   Når Kommissionen foretager evaluering og revision, jf. stk. 1 og 2, tager den hensyn til holdninger og resultater fra Europa-Parlamentet, fra Rådet og fra andre relevante organer eller kilder.

5.   Kommissionen forelægger om nødvendigt relevante forslag til ændring af denne forordning, navnlig under hensyntagen til udviklingen inden for informationsteknologi og i lyset af fremskridtene i informationssamfundet.

Artikel 98

Gennemgang af andre EU-retsakter om databeskyttelse

Hvis det er relevant, fremsætter Kommissionen lovgivningsforslag til ændring af andre EU-retsakter om beskyttelse af personoplysninger for at sikre ensartet og konsekvent beskyttelse af fysiske personer i forbindelse med behandling. Dette gælder især bestemmelser om beskyttelse af fysiske personer i forbindelse med EU-institutioners, -organers, -kontorers og -agenturers behandling og om fri udveksling af sådanne oplysninger.

Artikel 99

Ikrafttræden og anvendelse

1.   Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.

2.   Den anvendes fra den 25. maj 2018.

Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.

Udfærdiget i Bruxelles, den 27. april 2016.

På Europa-Parlamentets vegne

M. SCHULZ

Formand

På Rådets vegne

J.A. HENNIS-PLASSCHAERT

Formand

---

(1)  
  EUT C 229 af 31.7.2012, s. 90.

1

(2)  
  EUT C 391 af 18.12.2012, s. 127.

2

(3)  Europa-Parlamentets holdning af 12.3.2014 (endnu ikke offentliggjort i EUT) og Rådets førstebehandlingsholdning af 8.4.2016 (endnu ikke offentliggjort i EUT). Europa-Parlamentets holdning af 14.4.2016.

3

(4)  Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281 af 23.11.1995, s. 31).

4

(5)  Kommissionens henstilling af 6. maj 2003 om definitionen af mikrovirksomheder, små og mellemstore virksomheder (C(2003) 1422) (EUT L 124 af 20.5.2003, s. 36).

5

(6)  Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger (EFT L 8 af 12.1.2001, s. 1).

6

(7)  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (se side 89 i denne EUT).

7

(8)  Europa-Parlamentets og Rådets direktiv 2000/31/EF af 8. juni 2000 om visse retlige aspekter af informationssamfundstjenester, navnlig elektronisk handel, i det indre marked (»Direktivet om elektronisk handel«) (EFT L 178 af 17.7.2000, s. 1).

8

(9)  Europa-Parlamentets og Rådets direktiv 2011/24/EU af 9. marts 2011 om patientrettigheder i forbindelse med grænseoverskridende sundhedsydelser (EUT L 88 af 4.4.2011, s. 45).

9

(10)  Rådets direktiv 93/13/EØF af 5. april 1993 om urimelige kontraktvilkår i forbrugeraftaler (EFT L 95 af 21.4.1993, s. 29).

10

(11)  Europa-Parlamentets og Rådets forordning (EF) nr. 1338/2008 af 16. december 2008 om fællesskabsstatistikker over folkesundhed og arbejdsmiljø (EUT L 354 af 31.12.2008, s. 70).

11

(12)  Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (EUT L 55 af 28.2.2011, s. 13).

12

(13)  Europa-Parlamentets og Rådets forordning (EU) nr. 1215/2012 af 12. december 2012 om retternes kompetence og om anerkendelse og fuldbyrdelse af retsafgørelser på det civil- og handelsretlige område (EUT L 351 af 20.12.2012, s. 1).

13

(14)  Europa-Parlamentets og Rådets direktiv 2003/98/EF af 17. november 2003 om videreanvendelse af den offentlige sektors informationer (EUT L 345 af 31.12.2003, s. 90).

14

(15)  Europa-Parlamentets og Rådets forordning (EU) nr. 536/2014 af 16. april 2014 om kliniske forsøg med humanmedicinske lægemidler og om ophævelse af direktiv 2001/20/EF (EUT L 158 af 27.5.2014, s. 1).

15

(16)  Europa-Parlamentets og Rådets forordning (EF) nr. 223/2009 af 11. marts 2009 om europæiske statistikker og om ophævelse af forordning (EF, Euratom) nr. 1101/2008 om fremsendelse af fortrolige statistiske oplysninger til De Europæiske Fællesskabers Statistiske Kontor, Rådets forordning (EF) nr. 322/97 om EF-statistikker og Rådets afgørelse 89/382/EØF, Euratom om nedsættelse af et udvalg for De Europæiske Fællesskabers statistiske program (EUT L 87 af 31.3.2009, s. 164).

16

(17)  
  EUT C 192 af 30.6.2012, s. 7.

17

(18)  Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (EFT L 201 af 31.7.2002, s. 37).

18

(19)  Europa-Parlamentets og Rådets direktiv (EU) 2015/1535 af 9. september 2015 om en informationsprocedure med hensyn til tekniske forskrifter samt forskrifter for informationssamfundets tjenester (EUT L 241 af 17.9.2015, s. 1).

19

(20)  Europa-Parlamentets og Rådets forordning (EF) nr. 765/2008 af 9. juli 2008 om kravene til akkreditering og markedsovervågning i forbindelse med markedsføring af produkter og om ophævelse af Rådets forordning (EØF) nr. 339/93 (EUT L 218 af 13.8.2008, s. 30).

20

(21)  Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 af 30. maj 2001 om aktindsigt i Europa-Parlamentets, Rådets og Kommissionens dokumenter (EFT L 145 af 31.5.2001, s. 43).

21

---

DIREKTIVER

| 4.5.2016 | DA | Den Europæiske Unions Tidende | L 119/89 |
| --- | --- | --- | --- |

4.5.2016

DA

Den Europæiske Unions Tidende

L 119/89

---

EUROPA-PARLAMENTETS OG RÅDETS DIREKTIV (EU) 2016/680

af 27. april 2016

om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA

EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 16, stk. 2,

under henvisning til forslag fra Europa-Kommissionen,

efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,

under henvisning til udtalelse fra Regionsudvalget (1),

efter den almindelige lovgivningsprocedure (2), og

ud fra følgende betragtninger:

| (1) | Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger er en grundlæggende rettighed. I artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder (»chartret«) og artikel 16, stk. 1, i traktaten om Den Europæiske Unions funktionsmåde (TEUF) fastsættes det, at enhver har ret til beskyttelse af personoplysninger, der vedrører den pågældende. |
| --- | --- |

(1)

Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger er en grundlæggende rettighed. I artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder (»chartret«) og artikel 16, stk. 1, i traktaten om Den Europæiske Unions funktionsmåde (TEUF) fastsættes det, at enhver har ret til beskyttelse af personoplysninger, der vedrører den pågældende.

| (2) | Principperne og reglerne for beskyttelse af fysiske personer i forbindelse med behandling af deres personoplysninger bør, uanset deres nationalitet eller bopæl, respektere deres grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger. Dette direktiv har til formål at bidrage til skabelsen af et område med frihed, sikkerhed og retfærdighed. |
| --- | --- |

(2)

Principperne og reglerne for beskyttelse af fysiske personer i forbindelse med behandling af deres personoplysninger bør, uanset deres nationalitet eller bopæl, respektere deres grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger. Dette direktiv har til formål at bidrage til skabelsen af et område med frihed, sikkerhed og retfærdighed.

| (3) | Den hastige teknologiske udvikling og globaliseringen har skabt nye udfordringer, hvad angår beskyttelsen af personoplysninger. Omfanget af indsamlingen og delingen af personoplysninger er steget betydeligt. Teknologien giver mulighed for at behandle personoplysninger i et hidtil uset omfang i forbindelse med udøvelsen af aktiviteter såsom at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner. |
| --- | --- |

(3)

Den hastige teknologiske udvikling og globaliseringen har skabt nye udfordringer, hvad angår beskyttelsen af personoplysninger. Omfanget af indsamlingen og delingen af personoplysninger er steget betydeligt. Teknologien giver mulighed for at behandle personoplysninger i et hidtil uset omfang i forbindelse med udøvelsen af aktiviteter såsom at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner.

| (4) | Den frie udveksling af personoplysninger mellem kompetente myndigheder med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed i Unionen, og overførsel af sådanne personoplysninger til tredjelande og internationale organisationer, bør lettes samtidig med, at der sikres et højt niveau for beskyttelse af personoplysninger. Denne udvikling kræver, at der opbygges en stærk og mere sammenhængende ramme for beskyttelse af personoplysninger i Unionen, som understøttes af en effektiv håndhævelse. |
| --- | --- |

(4)

Den frie udveksling af personoplysninger mellem kompetente myndigheder med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed i Unionen, og overførsel af sådanne personoplysninger til tredjelande og internationale organisationer, bør lettes samtidig med, at der sikres et højt niveau for beskyttelse af personoplysninger. Denne udvikling kræver, at der opbygges en stærk og mere sammenhængende ramme for beskyttelse af personoplysninger i Unionen, som understøttes af en effektiv håndhævelse.

| (5) | Europa-Parlamentets og Rådets direktiv 95/46/EF (3) finder anvendelse på al behandling af personoplysninger i medlemsstaterne både i den offentlige og private sektor. Det finder dog ikke anvendelse på behandling af personoplysninger under udøvelse af aktiviteter, der falder uden for fællesskabsretten, såsom retligt samarbejde i straffesager og politisamarbejde. |
| --- | --- |

(5)

Europa-Parlamentets og Rådets direktiv 95/46/EF (3) finder anvendelse på al behandling af personoplysninger i medlemsstaterne både i den offentlige og private sektor. Det finder dog ikke anvendelse på behandling af personoplysninger under udøvelse af aktiviteter, der falder uden for fællesskabsretten, såsom retligt samarbejde i straffesager og politisamarbejde.

| (6) | Rådets rammeafgørelse 2008/977/RIA (4) finder anvendelse inden for retligt samarbejde i straffesager og politisamarbejde. Denne rammeafgørelses anvendelsesområde er begrænset til behandling af personoplysninger, der videregives eller stilles til rådighed mellem medlemsstater. |
| --- | --- |

(6)

Rådets rammeafgørelse 2008/977/RIA (4) finder anvendelse inden for retligt samarbejde i straffesager og politisamarbejde. Denne rammeafgørelses anvendelsesområde er begrænset til behandling af personoplysninger, der videregives eller stilles til rådighed mellem medlemsstater.

| (7) | Det er vigtigt at sikre et ensartet og højt niveau for beskyttelse af personoplysninger om fysiske personer og gøre det lettere at udveksle personoplysninger mellem medlemsstaternes kompetente myndigheder for at sikre et effektivt retligt samarbejde i straffesager og politisamarbejde. Med det formål bør niveauet for beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, være ensartet i alle medlemsstater. For at sikre en effektiv beskyttelse af personoplysninger i hele Unionen er det nødvendigt at styrke de registreredes rettigheder og de forpligtelser, der påhviler dem, der behandler personoplysninger, samt tilsvarende beføjelser til at kontrollere og sikre overholdelsen af reglerne om beskyttelse af personoplysninger i medlemsstaterne. |
| --- | --- |

(7)

Det er vigtigt at sikre et ensartet og højt niveau for beskyttelse af personoplysninger om fysiske personer og gøre det lettere at udveksle personoplysninger mellem medlemsstaternes kompetente myndigheder for at sikre et effektivt retligt samarbejde i straffesager og politisamarbejde. Med det formål bør niveauet for beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, være ensartet i alle medlemsstater. For at sikre en effektiv beskyttelse af personoplysninger i hele Unionen er det nødvendigt at styrke de registreredes rettigheder og de forpligtelser, der påhviler dem, der behandler personoplysninger, samt tilsvarende beføjelser til at kontrollere og sikre overholdelsen af reglerne om beskyttelse af personoplysninger i medlemsstaterne.

| (8) | Artikel 16, stk. 2, i TEUF giver Europa-Parlamentet og Rådet beføjelse til at fastsætte regler for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og regler om fri udveksling af sådanne oplysninger. |
| --- | --- |

(8)

Artikel 16, stk. 2, i TEUF giver Europa-Parlamentet og Rådet beføjelse til at fastsætte regler for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og regler om fri udveksling af sådanne oplysninger.

| (9) | På det grundlag fastsættes der ved Europa-Parlamentets og Rådets forordning (EU) 2016/679 (5) generelle regler for at beskytte fysiske personer i forbindelse med behandling af personoplysninger og sikre fri udveksling af personoplysninger i Unionen. |
| --- | --- |

(9)

På det grundlag fastsættes der ved Europa-Parlamentets og Rådets forordning (EU) 2016/679 (5) generelle regler for at beskytte fysiske personer i forbindelse med behandling af personoplysninger og sikre fri udveksling af personoplysninger i Unionen.

| (10) | I erklæring nr. 21 om beskyttelse af personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde, der er knyttet som bilag til slutakten fra den regeringskonference, der vedtog Lissabontraktaten, erkendte konferencen, at det kan blive nødvendigt med specifikke regler om beskyttelse af personoplysninger og om fri bevægelighed for personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde baseret på artikel 16 i TEUF som følge af disse områders specifikke karakter. |
| --- | --- |

(10)

I erklæring nr. 21 om beskyttelse af personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde, der er knyttet som bilag til slutakten fra den regeringskonference, der vedtog Lissabontraktaten, erkendte konferencen, at det kan blive nødvendigt med specifikke regler om beskyttelse af personoplysninger og om fri bevægelighed for personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde baseret på artikel 16 i TEUF som følge af disse områders specifikke karakter.

| (11) | Det er derfor hensigtsmæssigt at disse områder behandles i et direktiv, der fastsætter særlige regler for beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, idet disse aktiviteters særlige karakter respekteres. Disse kompetente myndigheder kan omfatte ikke blot offentlige myndigheder som judicielle myndigheder, politi eller andre retshåndhævende myndigheder, men også alle andre organer eller enheder, som i henhold til medlemsstaternes nationale ret udøver offentlig myndighed eller offentlige beføjelser med henblik på dette direktiv. Hvis det pågældende organ eller den pågældende enhed behandler personoplysninger til andre formål end med henblik på dette direktiv, finder forordning (EU) 2016/679 anvendelse. Forordning (EU) 2016/679 finder derfor anvendelse i tilfælde, hvor et organ eller en enhed indsamler personoplysninger til andre formål og viderebehandler disse personoplysninger for at opfylde en retlig forpligtelse, som det/den er underlagt. For eksempel opbevarer finansielle institutioner med henblik på efterforskning, afsløring eller retsforfølgning af strafbare handlinger visse personoplysninger, som de behandler, og disse personoplysninger videregives kun til de kompetente nationale myndigheder i særlige tilfælde og i henhold til medlemsstaternes nationale ret. Et organ eller en enhed, som behandler personoplysninger på sådanne myndigheders vegne inden for dette direktivs anvendelsesområde, bør være bundet af en kontrakt eller en anden retsakt og af de bestemmelser, der gælder for databehandlere i henhold til dette direktiv, mens anvendelsen af forordning (EU) 2016/679 ikke berøres heraf, for så vidt angår databehandlerens behandlingsaktiviteter uden for dette direktivs anvendelsesområde. |
| --- | --- |

(11)

Det er derfor hensigtsmæssigt at disse områder behandles i et direktiv, der fastsætter særlige regler for beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, idet disse aktiviteters særlige karakter respekteres. Disse kompetente myndigheder kan omfatte ikke blot offentlige myndigheder som judicielle myndigheder, politi eller andre retshåndhævende myndigheder, men også alle andre organer eller enheder, som i henhold til medlemsstaternes nationale ret udøver offentlig myndighed eller offentlige beføjelser med henblik på dette direktiv. Hvis det pågældende organ eller den pågældende enhed behandler personoplysninger til andre formål end med henblik på dette direktiv, finder forordning (EU) 2016/679 anvendelse. Forordning (EU) 2016/679 finder derfor anvendelse i tilfælde, hvor et organ eller en enhed indsamler personoplysninger til andre formål og viderebehandler disse personoplysninger for at opfylde en retlig forpligtelse, som det/den er underlagt. For eksempel opbevarer finansielle institutioner med henblik på efterforskning, afsløring eller retsforfølgning af strafbare handlinger visse personoplysninger, som de behandler, og disse personoplysninger videregives kun til de kompetente nationale myndigheder i særlige tilfælde og i henhold til medlemsstaternes nationale ret. Et organ eller en enhed, som behandler personoplysninger på sådanne myndigheders vegne inden for dette direktivs anvendelsesområde, bør være bundet af en kontrakt eller en anden retsakt og af de bestemmelser, der gælder for databehandlere i henhold til dette direktiv, mens anvendelsen af forordning (EU) 2016/679 ikke berøres heraf, for så vidt angår databehandlerens behandlingsaktiviteter uden for dette direktivs anvendelsesområde.

| (12) | De aktiviteter, der udføres af politiet eller andre retshåndhævende myndigheder, er hovedsageligt fokuseret på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger, herunder politiaktiviteter uden forudgående viden om, hvorvidt et forhold udgør en strafbar handling eller ej. Sådanne aktiviteter kan også omfatte udøvelsen af beføjelser gennem tvangsindgreb som f.eks. politiaktiviteter i forbindelse med demonstrationer, store sportsbegivenheder og uroligheder. De omfatter også opretholdelse af lov og orden som en opgave, der er overdraget til politiet eller andre retshåndhævende myndigheder, hvor det er nødvendigt for at beskytte mod og forebygge trusler mod den offentlige sikkerhed og de ved lov beskyttede grundlæggende samfundsinteresser, som kan føre til en strafbar handling. Medlemsstater kan overdrage andre opgaver, der ikke nødvendigvis foretages med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, til de kompetente myndigheder, således at behandlingen af personoplysninger til disse andre formål, for så vidt de er omfattet af EU-retten, falder ind under anvendelsesområdet for forordning (EU) 2016/679. |
| --- | --- |

(12)

De aktiviteter, der udføres af politiet eller andre retshåndhævende myndigheder, er hovedsageligt fokuseret på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger, herunder politiaktiviteter uden forudgående viden om, hvorvidt et forhold udgør en strafbar handling eller ej. Sådanne aktiviteter kan også omfatte udøvelsen af beføjelser gennem tvangsindgreb som f.eks. politiaktiviteter i forbindelse med demonstrationer, store sportsbegivenheder og uroligheder. De omfatter også opretholdelse af lov og orden som en opgave, der er overdraget til politiet eller andre retshåndhævende myndigheder, hvor det er nødvendigt for at beskytte mod og forebygge trusler mod den offentlige sikkerhed og de ved lov beskyttede grundlæggende samfundsinteresser, som kan føre til en strafbar handling. Medlemsstater kan overdrage andre opgaver, der ikke nødvendigvis foretages med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, til de kompetente myndigheder, således at behandlingen af personoplysninger til disse andre formål, for så vidt de er omfattet af EU-retten, falder ind under anvendelsesområdet for forordning (EU) 2016/679.

| (13) | En strafbar handling som omhandlet i dette direktiv bør være et selvstændigt EU-retligt begreb som fortolket af Den Europæiske Unions Domstol (»Domstolen«). |
| --- | --- |

(13)

En strafbar handling som omhandlet i dette direktiv bør være et selvstændigt EU-retligt begreb som fortolket af Den Europæiske Unions Domstol (»Domstolen«).

| (14) | Da dette direktiv ikke bør finde anvendelse på behandlingen af personoplysninger i forbindelse med en aktivitet, der falder uden for EU-retten, bør aktiviteter vedrørende statens sikkerhed, aktiviteter udført af agenturer eller enheder, der beskæftiger sig med spørgsmål om statens sikkerhed, og medlemsstaternes behandling af personoplysninger ved udførelsen af aktiviteter, der falder inden for rammerne af afsnit V, kapitel 2, i traktaten om Den Europæiske Union (TEU), ikke anses for at være aktiviteter, der falder inden for dette direktivs anvendelsesområde. |
| --- | --- |

(14)

Da dette direktiv ikke bør finde anvendelse på behandlingen af personoplysninger i forbindelse med en aktivitet, der falder uden for EU-retten, bør aktiviteter vedrørende statens sikkerhed, aktiviteter udført af agenturer eller enheder, der beskæftiger sig med spørgsmål om statens sikkerhed, og medlemsstaternes behandling af personoplysninger ved udførelsen af aktiviteter, der falder inden for rammerne af afsnit V, kapitel 2, i traktaten om Den Europæiske Union (TEU), ikke anses for at være aktiviteter, der falder inden for dette direktivs anvendelsesområde.

| (15) | For at sikre et ensartet beskyttelsesniveau for fysiske personer ved hjælp af rettigheder, som kan håndhæves i hele Unionen, og for at hindre, at forskelle hæmmer den frie udveksling af personoplysninger mellem kompetente myndigheder, bør dette direktiv fastsætte harmoniserede regler for beskyttelse og fri udveksling af personoplysninger, der behandles med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed. Den indbyrdes tilnærmelse af medlemsstaternes lovgivninger bør ikke resultere i en forringelse af den beskyttelse af personoplysninger, de indeholder, men bør tværtimod søge at sikre et højt beskyttelsesniveau i Unionen. Medlemsstaterne bør ikke forhindres i at fastsætte højere standarder end dem, der er indeholdt i dette direktiv, for beskyttelse af den registreredes rettigheder og frihedsrettigheder med hensyn til kompetente myndigheders behandling af personoplysninger. |
| --- | --- |

(15)

For at sikre et ensartet beskyttelsesniveau for fysiske personer ved hjælp af rettigheder, som kan håndhæves i hele Unionen, og for at hindre, at forskelle hæmmer den frie udveksling af personoplysninger mellem kompetente myndigheder, bør dette direktiv fastsætte harmoniserede regler for beskyttelse og fri udveksling af personoplysninger, der behandles med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed. Den indbyrdes tilnærmelse af medlemsstaternes lovgivninger bør ikke resultere i en forringelse af den beskyttelse af personoplysninger, de indeholder, men bør tværtimod søge at sikre et højt beskyttelsesniveau i Unionen. Medlemsstaterne bør ikke forhindres i at fastsætte højere standarder end dem, der er indeholdt i dette direktiv, for beskyttelse af den registreredes rettigheder og frihedsrettigheder med hensyn til kompetente myndigheders behandling af personoplysninger.

| (16) | Dette direktiv berører ikke princippet om aktindsigt i officielle dokumenter. I henhold til forordning (EU) 2016/679 kan personoplysninger i officielle dokumenter, som opbevares af en offentlig myndighed eller et offentligt eller privat organ med henblik på udførelse af en opgave i samfundets interesse, videregives af denne myndighed eller dette organ i overensstemmelse med EU-retten eller medlemsstaternes nationale ret, som den offentlige myndighed eller organet er underlagt, for at forene aktindsigt i officielle dokumenter med retten til beskyttelse af personoplysninger. |
| --- | --- |

(16)

Dette direktiv berører ikke princippet om aktindsigt i officielle dokumenter. I henhold til forordning (EU) 2016/679 kan personoplysninger i officielle dokumenter, som opbevares af en offentlig myndighed eller et offentligt eller privat organ med henblik på udførelse af en opgave i samfundets interesse, videregives af denne myndighed eller dette organ i overensstemmelse med EU-retten eller medlemsstaternes nationale ret, som den offentlige myndighed eller organet er underlagt, for at forene aktindsigt i officielle dokumenter med retten til beskyttelse af personoplysninger.

| (17) | Den beskyttelse, som dette direktiv yder i forbindelse med behandling af personoplysninger, bør finde anvendelse på fysiske personer uanset nationalitet eller bopæl. |
| --- | --- |

(17)

Den beskyttelse, som dette direktiv yder i forbindelse med behandling af personoplysninger, bør finde anvendelse på fysiske personer uanset nationalitet eller bopæl.

| (18) | For at undgå at skabe en alvorlig risiko for omgåelse bør beskyttelsen af fysiske personer være teknologineutral og ikke afhænge af de anvendte teknikker. Beskyttelsen af fysiske personer bør gælde for både automatisk og manuel behandling af personoplysninger, hvis personoplysningerne er indeholdt eller vil blive indeholdt i et register. Sagsmapper eller samlinger af sagsmapper samt deres forsider, som ikke er struktureret efter bestemte kriterier, bør ikke være omfattet af dette direktivs anvendelsesområde. |
| --- | --- |

(18)

For at undgå at skabe en alvorlig risiko for omgåelse bør beskyttelsen af fysiske personer være teknologineutral og ikke afhænge af de anvendte teknikker. Beskyttelsen af fysiske personer bør gælde for både automatisk og manuel behandling af personoplysninger, hvis personoplysningerne er indeholdt eller vil blive indeholdt i et register. Sagsmapper eller samlinger af sagsmapper samt deres forsider, som ikke er struktureret efter bestemte kriterier, bør ikke være omfattet af dette direktivs anvendelsesområde.

| (19) | Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 (6) finder anvendelse på behandling af personoplysninger, der foretages af Den Europæiske Unions institutioner, organer, kontorer og agenturer. Forordning (EF) nr. 45/2001 og andre EU-retsakter, der finder anvendelse på en sådan behandling af personoplysninger, bør tilpasses til principperne og bestemmelserne i forordning (EU) 2016/679. |
| --- | --- |

(19)

Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 (6) finder anvendelse på behandling af personoplysninger, der foretages af Den Europæiske Unions institutioner, organer, kontorer og agenturer. Forordning (EF) nr. 45/2001 og andre EU-retsakter, der finder anvendelse på en sådan behandling af personoplysninger, bør tilpasses til principperne og bestemmelserne i forordning (EU) 2016/679.

| (20) | Dette direktiv forhindrer ikke medlemsstaterne i at præcisere behandlingsaktiviteter og behandlingsprocedurer i deres nationale regler om strafferetspleje vedrørende behandling af personoplysninger ved domstole og andre judicielle myndigheder, navnlig for så vidt angår personoplysninger, der er indeholdt i en retsafgørelse eller et register i forbindelse med straffesager. |
| --- | --- |

(20)

Dette direktiv forhindrer ikke medlemsstaterne i at præcisere behandlingsaktiviteter og behandlingsprocedurer i deres nationale regler om strafferetspleje vedrørende behandling af personoplysninger ved domstole og andre judicielle myndigheder, navnlig for så vidt angår personoplysninger, der er indeholdt i en retsafgørelse eller et register i forbindelse med straffesager.

| (21) | Principperne for databeskyttelse bør gælde enhver information om en identificeret eller identificerbar fysisk person. For at afgøre, om en fysisk person er identificerbar, bør alle midler tages i betragtning, der med rimelighed kan tænkes bragt i anvendelse af den dataansvarlige eller en anden person til direkte eller indirekte at identificere, herunder udpege, den pågældende. For at fastslå, om midler med rimelighed kan tænkes bragt i anvendelse til at identificere en fysisk person, bør alle objektive forhold tages i betragtning, såsom omkostninger ved og tid, der er nødvendig til identifikation, under hensyntagen til den tilgængelige teknologi på behandlingstidspunktet og den teknologiske udvikling. Databeskyttelsesprincipperne bør derfor ikke gælde for anonyme oplysninger, dvs. oplysninger, der ikke vedrører en identificeret eller identificerbar fysisk person, eller for personoplysninger, som er gjort anonyme på en sådan måde, at den registrerede ikke længere kan identificeres. |
| --- | --- |

(21)

Principperne for databeskyttelse bør gælde enhver information om en identificeret eller identificerbar fysisk person. For at afgøre, om en fysisk person er identificerbar, bør alle midler tages i betragtning, der med rimelighed kan tænkes bragt i anvendelse af den dataansvarlige eller en anden person til direkte eller indirekte at identificere, herunder udpege, den pågældende. For at fastslå, om midler med rimelighed kan tænkes bragt i anvendelse til at identificere en fysisk person, bør alle objektive forhold tages i betragtning, såsom omkostninger ved og tid, der er nødvendig til identifikation, under hensyntagen til den tilgængelige teknologi på behandlingstidspunktet og den teknologiske udvikling. Databeskyttelsesprincipperne bør derfor ikke gælde for anonyme oplysninger, dvs. oplysninger, der ikke vedrører en identificeret eller identificerbar fysisk person, eller for personoplysninger, som er gjort anonyme på en sådan måde, at den registrerede ikke længere kan identificeres.

| (22) | Offentlige myndigheder, til hvem personoplysninger videregives i overensstemmelse med en retlig forpligtelse i forbindelse med udøvelsen af deres officielle hverv, såsom skatte- og toldmyndigheder, finansielle efterforskningsenheder, uafhængige administrative myndigheder eller finansielle markedsmyndigheder, der er ansvarlige for regulering af og tilsyn med værdipapirmarkederne, bør ikke betragtes som værende modtagere, hvis de modtager personoplysninger, der er nødvendige som led i en isoleret forespørgsel af almen interesse i overensstemmelse med EU-retten eller medlemsstaternes nationale ret. Anmodninger om videregivelse af oplysninger sendt af de offentlige myndigheder bør altid være skriftlige, begrundede og lejlighedsvise og bør ikke vedrøre et register som helhed eller føre til samkøring af registre. Disse offentlige myndigheders behandling af personoplysninger bør være i overensstemmelse med de gældende databeskyttelsesregler afhængigt af formålet med behandlingen. |
| --- | --- |

(22)

Offentlige myndigheder, til hvem personoplysninger videregives i overensstemmelse med en retlig forpligtelse i forbindelse med udøvelsen af deres officielle hverv, såsom skatte- og toldmyndigheder, finansielle efterforskningsenheder, uafhængige administrative myndigheder eller finansielle markedsmyndigheder, der er ansvarlige for regulering af og tilsyn med værdipapirmarkederne, bør ikke betragtes som værende modtagere, hvis de modtager personoplysninger, der er nødvendige som led i en isoleret forespørgsel af almen interesse i overensstemmelse med EU-retten eller medlemsstaternes nationale ret. Anmodninger om videregivelse af oplysninger sendt af de offentlige myndigheder bør altid være skriftlige, begrundede og lejlighedsvise og bør ikke vedrøre et register som helhed eller føre til samkøring af registre. Disse offentlige myndigheders behandling af personoplysninger bør være i overensstemmelse med de gældende databeskyttelsesregler afhængigt af formålet med behandlingen.

| (23) | Genetiske data bør defineres som personoplysninger vedrørende en fysisk persons arvede eller erhvervede genetiske karakteristika, som giver entydig information om den pågældende fysiske persons fysiologi eller helbred, og som foreligger efter en analyse af en biologisk prøve fra den pågældende fysiske person, navnlig en analyse på kromosomniveau, af deoxyribonukleinsyre (DNA) eller ribonukleinsyre (RNA), eller efter en analyse af et andet element til indhentning af lignende oplysninger. I betragtning af genetiske oplysningers kompleksitet og følsomhed er der stor risiko for misbrug og genanvendelse til forskellige formål fra den dataansvarliges side. Enhver forskelsbehandling på grund af genetiske anlæg bør i princippet være forbudt. |
| --- | --- |

(23)

Genetiske data bør defineres som personoplysninger vedrørende en fysisk persons arvede eller erhvervede genetiske karakteristika, som giver entydig information om den pågældende fysiske persons fysiologi eller helbred, og som foreligger efter en analyse af en biologisk prøve fra den pågældende fysiske person, navnlig en analyse på kromosomniveau, af deoxyribonukleinsyre (DNA) eller ribonukleinsyre (RNA), eller efter en analyse af et andet element til indhentning af lignende oplysninger. I betragtning af genetiske oplysningers kompleksitet og følsomhed er der stor risiko for misbrug og genanvendelse til forskellige formål fra den dataansvarliges side. Enhver forskelsbehandling på grund af genetiske anlæg bør i princippet være forbudt.

| (24) | Helbredsoplysninger bør omfatte alle personoplysninger om den registreredes helbredstilstand, som giver oplysninger om den registreredes tidligere, nuværende eller fremtidige fysiske eller mentale helbredstilstand. Dette omfatter oplysninger om den fysiske person indsamlet i løbet af registreringen af denne med henblik på eller under levering af sundhedsydelser, jf. Europa-Parlamentets og Rådets direktiv 2011/24/EU (7), til den fysiske person; et nummer, symbol eller særligt mærke, der tildeles en fysisk person for entydigt at identificere den fysiske person til sundhedsformål; oplysninger, der hidrører fra prøver eller undersøgelser af en legemsdel eller legemlig substans, herunder fra genetiske data og biologiske prøver; og enhver oplysninger om f.eks. en sygdom, et handicap, en sygdomsrisiko, en sygehistorie, en sundhedsfaglig behandling eller den registreredes fysiologiske eller biomedicinske tilstand uafhængigt af kilden hertil, f.eks. fra en læge eller anden sundhedsperson, et hospital, medicinsk udstyr eller in vitro-diagnostik. |
| --- | --- |

(24)

Helbredsoplysninger bør omfatte alle personoplysninger om den registreredes helbredstilstand, som giver oplysninger om den registreredes tidligere, nuværende eller fremtidige fysiske eller mentale helbredstilstand. Dette omfatter oplysninger om den fysiske person indsamlet i løbet af registreringen af denne med henblik på eller under levering af sundhedsydelser, jf. Europa-Parlamentets og Rådets direktiv 2011/24/EU (7), til den fysiske person; et nummer, symbol eller særligt mærke, der tildeles en fysisk person for entydigt at identificere den fysiske person til sundhedsformål; oplysninger, der hidrører fra prøver eller undersøgelser af en legemsdel eller legemlig substans, herunder fra genetiske data og biologiske prøver; og enhver oplysninger om f.eks. en sygdom, et handicap, en sygdomsrisiko, en sygehistorie, en sundhedsfaglig behandling eller den registreredes fysiologiske eller biomedicinske tilstand uafhængigt af kilden hertil, f.eks. fra en læge eller anden sundhedsperson, et hospital, medicinsk udstyr eller in vitro-diagnostik.

| (25) | Alle medlemsstater er tilknyttet Den Internationale Kriminalpolitiorganisation (Interpol). Med henblik på at opfylde sin funktion modtager, opbevarer og videregiver Interpol personoplysninger for at bistå de kompetente myndigheder med at forebygge og bekæmpe international kriminalitet. Det er derfor relevant at styrke samarbejdet mellem Unionen og Interpol ved at fremme en effektiv udveksling af personoplysninger, samtidig med at overholdelsen af de grundlæggende rettigheder og frihedsrettigheder med hensyn til elektronisk behandling af personoplysninger sikres. Når der videregives personoplysninger fra Unionen til Interpol og til lande, der er medlemmer af Interpol, bør dette direktiv, navnlig bestemmelserne om internationale overførsler, finde anvendelse. Dette direktiv bør ikke berøre de særlige regler, der er fastsat i Rådets fælles holdning 2005/69/RIA (8) og Rådets afgørelse 2007/533/RIA (9). |
| --- | --- |

(25)

Alle medlemsstater er tilknyttet Den Internationale Kriminalpolitiorganisation (Interpol). Med henblik på at opfylde sin funktion modtager, opbevarer og videregiver Interpol personoplysninger for at bistå de kompetente myndigheder med at forebygge og bekæmpe international kriminalitet. Det er derfor relevant at styrke samarbejdet mellem Unionen og Interpol ved at fremme en effektiv udveksling af personoplysninger, samtidig med at overholdelsen af de grundlæggende rettigheder og frihedsrettigheder med hensyn til elektronisk behandling af personoplysninger sikres. Når der videregives personoplysninger fra Unionen til Interpol og til lande, der er medlemmer af Interpol, bør dette direktiv, navnlig bestemmelserne om internationale overførsler, finde anvendelse. Dette direktiv bør ikke berøre de særlige regler, der er fastsat i Rådets fælles holdning 2005/69/RIA (8) og Rådets afgørelse 2007/533/RIA (9).

| (26) | Enhver behandling af personoplysninger skal være lovlig, rimelig og gennemsigtig i forhold til de berørte fysiske personer og må kun finde sted til specifikke formål fastlagt ved lov. Det forhindrer ikke i sig selv de retshåndhævende myndigheder i at udføre aktiviteter som f.eks. hemmelige undersøgelser eller videoovervågning. Disse aktiviteter kan udføres med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, så længe de er fastlagt ved lov og udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under behørigt hensyn til den berørte fysiske persons legitime interesser. Databeskyttelsesprincippet om rimelig behandling er et særskilt begreb i forhold til retten til en retfærdig rettergang som defineret i chartrets artikel 47 og artikel 6 i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder (EMRK). Fysiske personer bør gøres bekendt med risici, regler, garantier og rettigheder i forbindelse med behandling af deres personoplysninger og med, hvordan de skal udøve deres rettigheder i forbindelse med behandlingen. De konkrete formål med behandlingen af personoplysningerne bør navnlig være udtrykkelige og legitime og fastlagt, når personoplysningerne indsamles. Personoplysningerne bør være tilstrækkelige og relevante i forhold til de formål, hvortil de behandles. Det bør navnlig sikres, at de indsamlede personoplysninger ikke er for omfattende og ikke opbevares i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de behandles. Personoplysninger bør kun behandles, hvis formålet med behandlingen ikke med rimelighed kan opfyldes på anden måde. For at sikre, at oplysningerne ikke opbevares i længere tid end nødvendigt, bør den dataansvarlige indføre tidsfrister for sletning eller regelmæssig revision. Medlemsstaterne bør fastsætte de fornødne garantier for personoplysninger, der i længere perioder opbevares til arkivformål i samfundets interesse eller til videnskabelig, statistisk eller historisk brug. |
| --- | --- |

(26)

Enhver behandling af personoplysninger skal være lovlig, rimelig og gennemsigtig i forhold til de berørte fysiske personer og må kun finde sted til specifikke formål fastlagt ved lov. Det forhindrer ikke i sig selv de retshåndhævende myndigheder i at udføre aktiviteter som f.eks. hemmelige undersøgelser eller videoovervågning. Disse aktiviteter kan udføres med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, så længe de er fastlagt ved lov og udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under behørigt hensyn til den berørte fysiske persons legitime interesser. Databeskyttelsesprincippet om rimelig behandling er et særskilt begreb i forhold til retten til en retfærdig rettergang som defineret i chartrets artikel 47 og artikel 6 i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder (EMRK). Fysiske personer bør gøres bekendt med risici, regler, garantier og rettigheder i forbindelse med behandling af deres personoplysninger og med, hvordan de skal udøve deres rettigheder i forbindelse med behandlingen. De konkrete formål med behandlingen af personoplysningerne bør navnlig være udtrykkelige og legitime og fastlagt, når personoplysningerne indsamles. Personoplysningerne bør være tilstrækkelige og relevante i forhold til de formål, hvortil de behandles. Det bør navnlig sikres, at de indsamlede personoplysninger ikke er for omfattende og ikke opbevares i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de behandles. Personoplysninger bør kun behandles, hvis formålet med behandlingen ikke med rimelighed kan opfyldes på anden måde. For at sikre, at oplysningerne ikke opbevares i længere tid end nødvendigt, bør den dataansvarlige indføre tidsfrister for sletning eller regelmæssig revision. Medlemsstaterne bør fastsætte de fornødne garantier for personoplysninger, der i længere perioder opbevares til arkivformål i samfundets interesse eller til videnskabelig, statistisk eller historisk brug.

| (27) | Med henblik på forebyggelse, efterforskning og retsforfølgning af strafbare handlinger er det nødvendigt, at de kompetente myndigheder behandler personoplysninger, der er indsamlet i forbindelse med forebyggelse, efterforskning, afsløring eller retsforfølgning af konkrete strafbare handlinger, i en bredere sammenhæng for derved at få en forståelse af kriminelle handlinger og sammenkoble forskellige strafbare handlinger, som er blevet afsløret. |
| --- | --- |

(27)

Med henblik på forebyggelse, efterforskning og retsforfølgning af strafbare handlinger er det nødvendigt, at de kompetente myndigheder behandler personoplysninger, der er indsamlet i forbindelse med forebyggelse, efterforskning, afsløring eller retsforfølgning af konkrete strafbare handlinger, i en bredere sammenhæng for derved at få en forståelse af kriminelle handlinger og sammenkoble forskellige strafbare handlinger, som er blevet afsløret.

| (28) | For at opretholde sikkerheden i forhold til behandling og hindre behandling i strid med dette direktiv bør personoplysninger behandles på en måde, der garanterer et tilstrækkeligt niveau af sikkerhed og fortrolighed, herunder hindring af uautoriseret adgang til eller anvendelse af personoplysninger og af det udstyr, der anvendes til behandlingen, og under hensyntagen til det aktuelle tekniske niveau og den teknologi, der er tilgængelig, implementeringsomkostningerne i forbindelse med risiciene ved og karakteren af de personoplysninger, der skal beskyttes. |
| --- | --- |

(28)

For at opretholde sikkerheden i forhold til behandling og hindre behandling i strid med dette direktiv bør personoplysninger behandles på en måde, der garanterer et tilstrækkeligt niveau af sikkerhed og fortrolighed, herunder hindring af uautoriseret adgang til eller anvendelse af personoplysninger og af det udstyr, der anvendes til behandlingen, og under hensyntagen til det aktuelle tekniske niveau og den teknologi, der er tilgængelig, implementeringsomkostningerne i forbindelse med risiciene ved og karakteren af de personoplysninger, der skal beskyttes.

| (29) | Personoplysninger bør indsamles til udtrykkeligt angivne og legitime formål inden for dette direktivs anvendelsesområde og bør ikke behandles til formål, der er uforenelige med formålene med at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed. Hvis personoplysninger behandles af den samme eller en anden dataansvarlig til et formål inden for dette direktivs anvendelsesområde, men som adskiller sig fra det, hvortil de er indsamlet, bør en sådan behandling være tilladt, forudsat at en sådan behandling er godkendt i overensstemmelse med gældende retlige bestemmelser og er nødvendig for og står i et rimeligt forhold til dette andet formål. |
| --- | --- |

(29)

Personoplysninger bør indsamles til udtrykkeligt angivne og legitime formål inden for dette direktivs anvendelsesområde og bør ikke behandles til formål, der er uforenelige med formålene med at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed. Hvis personoplysninger behandles af den samme eller en anden dataansvarlig til et formål inden for dette direktivs anvendelsesområde, men som adskiller sig fra det, hvortil de er indsamlet, bør en sådan behandling være tilladt, forudsat at en sådan behandling er godkendt i overensstemmelse med gældende retlige bestemmelser og er nødvendig for og står i et rimeligt forhold til dette andet formål.

| (30) | Princippet om oplysningernes rigtighed bør anvendes under hensyntagen til den pågældende behandlings karakter og formål. Navnlig i retssager er udsagn, der indeholder personoplysninger, baseret på en subjektiv opfattelse af fysiske personer, og det er ikke altid muligt at kontrollere dem. Kravet om oplysningernes rigtighed bør derfor ikke vedrøre et udsagns rigtighed, men blot det forhold, at der er fremsat et konkret udsagn. |
| --- | --- |

(30)

Princippet om oplysningernes rigtighed bør anvendes under hensyntagen til den pågældende behandlings karakter og formål. Navnlig i retssager er udsagn, der indeholder personoplysninger, baseret på en subjektiv opfattelse af fysiske personer, og det er ikke altid muligt at kontrollere dem. Kravet om oplysningernes rigtighed bør derfor ikke vedrøre et udsagns rigtighed, men blot det forhold, at der er fremsat et konkret udsagn.

| (31) | Behandling af personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde indebærer i sagens natur behandling af personoplysninger om forskellige kategorier af registrerede. Der bør således, hvis det er relevant og så vidt muligt, sondres klart mellem personoplysninger om forskellige kategorier af registrerede såsom mistænkte, personer, der er dømt for en strafbar handling, ofre og andre parter som f.eks. vidner, personer, der ligger inde med relevante oplysninger eller kontakter, eller mistænktes og dømte kriminelles ledsagepersoner. Dette bør ikke være til hinder for anvendelsen af princippet om uskyldsformodning, som er sikret ved chartret og ved EMRK, som fortolket i retspraksis ved henholdsvis Domstolen og Den Europæiske Menneskerettighedsdomstol. |
| --- | --- |

(31)

Behandling af personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde indebærer i sagens natur behandling af personoplysninger om forskellige kategorier af registrerede. Der bør således, hvis det er relevant og så vidt muligt, sondres klart mellem personoplysninger om forskellige kategorier af registrerede såsom mistænkte, personer, der er dømt for en strafbar handling, ofre og andre parter som f.eks. vidner, personer, der ligger inde med relevante oplysninger eller kontakter, eller mistænktes og dømte kriminelles ledsagepersoner. Dette bør ikke være til hinder for anvendelsen af princippet om uskyldsformodning, som er sikret ved chartret og ved EMRK, som fortolket i retspraksis ved henholdsvis Domstolen og Den Europæiske Menneskerettighedsdomstol.

| (32) | De kompetente myndigheder bør sikre, at personoplysninger, som er urigtige, ufuldstændige eller ikke ajourførte, ikke videregives eller stilles til rådighed. For at sikre beskyttelsen af fysiske personer, rigtigheden, fuldstændigheden, eller graden af ajourføring og pålideligheden af de personoplysninger, der videregives eller stilles til rådighed, bør de kompetente myndigheder så vidt muligt tilføje nødvendige oplysninger ved enhver videregivelse af personoplysninger. |
| --- | --- |

(32)

De kompetente myndigheder bør sikre, at personoplysninger, som er urigtige, ufuldstændige eller ikke ajourførte, ikke videregives eller stilles til rådighed. For at sikre beskyttelsen af fysiske personer, rigtigheden, fuldstændigheden, eller graden af ajourføring og pålideligheden af de personoplysninger, der videregives eller stilles til rådighed, bør de kompetente myndigheder så vidt muligt tilføje nødvendige oplysninger ved enhver videregivelse af personoplysninger.

| (33) | Når dette direktiv henviser til medlemsstaternes nationale ret, et retsgrundlag eller en lovgivningsmæssig foranstaltning, kræver det ikke nødvendigvis en lov, der er vedtaget af et parlament, med forbehold for krav i henhold til den forfatningsmæssige orden i den pågældende medlemsstat. En sådan national ret i medlemsstaterne, et sådant retsgrundlag eller en sådan lovgivningsmæssig foranstaltning bør imidlertid være klar(t) og præcis(t), og anvendelse heraf bør være forudsigelig for de personer, der er omfattet af dets/dens anvendelsesområde, jf. retspraksis fra Domstolen og Den Europæiske Menneskerettighedsdomstol. Medlemsstaternes nationale ret, som regulerer behandling af personoplysninger inden for dette direktivs anvendelsesområde, bør som minimum angive målene, de personoplysninger, der skal behandles, formålene med behandlingen og procedurerne for sikring af personoplysningernes integritet og fortrolighed samt procedurerne for deres tilintetgørelse og derved i tilstrækkelig grad sikre oplysningerne mod risikoen for misbrug og vilkårlighed. |
| --- | --- |

(33)

Når dette direktiv henviser til medlemsstaternes nationale ret, et retsgrundlag eller en lovgivningsmæssig foranstaltning, kræver det ikke nødvendigvis en lov, der er vedtaget af et parlament, med forbehold for krav i henhold til den forfatningsmæssige orden i den pågældende medlemsstat. En sådan national ret i medlemsstaterne, et sådant retsgrundlag eller en sådan lovgivningsmæssig foranstaltning bør imidlertid være klar(t) og præcis(t), og anvendelse heraf bør være forudsigelig for de personer, der er omfattet af dets/dens anvendelsesområde, jf. retspraksis fra Domstolen og Den Europæiske Menneskerettighedsdomstol. Medlemsstaternes nationale ret, som regulerer behandling af personoplysninger inden for dette direktivs anvendelsesområde, bør som minimum angive målene, de personoplysninger, der skal behandles, formålene med behandlingen og procedurerne for sikring af personoplysningernes integritet og fortrolighed samt procedurerne for deres tilintetgørelse og derved i tilstrækkelig grad sikre oplysningerne mod risikoen for misbrug og vilkårlighed.

| (34) | Kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder at beskytte mod eller forebygge trusler mod den offentlige sikkerhed, bør dække enhver aktivitet eller række af aktiviteter, med eller uden brug af automatisk behandling, som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, sammenstilling eller samkøring, begrænsning af behandling, sletning eller tilintetgørelse. Bestemmelserne i dette direktiv bør navnlig finde anvendelse på videregivelse af personoplysninger med henblik på dette direktiv til en modtager, der ikke er omfattet af dette direktiv. En sådan modtager bør omfatte en fysisk eller juridisk person, offentlig myndighed, institution eller ethvert andet organ, som personoplysningerne lovligt videregives til af den kompetente myndighed. Hvis personoplysningerne oprindeligt blev indsamlet af en kompetent myndighed til et af dette direktivs formål, bør forordning (EU) 2016/679 finde anvendelse på behandlingen af disse oplysninger til andre formål end med henblik på dette direktiv, hvis en sådan behandling er hjemlet i EU-retten eller medlemsstaternes nationale ret. Bestemmelserne i forordning (EU) 2016/679 bør navnlig finde anvendelse på videregivelse af personoplysninger til formål, der ikke er omfattet af dette direktiv. Forordning (EU) 2016/679 bør finde anvendelse på behandling af personoplysninger, der udføres af en modtager, der ikke er en kompetent myndighed, eller der ikke fungerer som en sådan med henblik på dette direktiv, og til hvilken en kompetent myndighed lovligt videregiver personoplysninger. Ved gennemførelsen af dette direktiv bør medlemsstaterne også yderligere kunne præcisere anvendelsen af bestemmelserne i forordning (EU) 2016/679 med forbehold af de betingelser, som er fastsat i forordningen. |
| --- | --- |

(34)

Kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder at beskytte mod eller forebygge trusler mod den offentlige sikkerhed, bør dække enhver aktivitet eller række af aktiviteter, med eller uden brug af automatisk behandling, som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, sammenstilling eller samkøring, begrænsning af behandling, sletning eller tilintetgørelse. Bestemmelserne i dette direktiv bør navnlig finde anvendelse på videregivelse af personoplysninger med henblik på dette direktiv til en modtager, der ikke er omfattet af dette direktiv. En sådan modtager bør omfatte en fysisk eller juridisk person, offentlig myndighed, institution eller ethvert andet organ, som personoplysningerne lovligt videregives til af den kompetente myndighed. Hvis personoplysningerne oprindeligt blev indsamlet af en kompetent myndighed til et af dette direktivs formål, bør forordning (EU) 2016/679 finde anvendelse på behandlingen af disse oplysninger til andre formål end med henblik på dette direktiv, hvis en sådan behandling er hjemlet i EU-retten eller medlemsstaternes nationale ret. Bestemmelserne i forordning (EU) 2016/679 bør navnlig finde anvendelse på videregivelse af personoplysninger til formål, der ikke er omfattet af dette direktiv. Forordning (EU) 2016/679 bør finde anvendelse på behandling af personoplysninger, der udføres af en modtager, der ikke er en kompetent myndighed, eller der ikke fungerer som en sådan med henblik på dette direktiv, og til hvilken en kompetent myndighed lovligt videregiver personoplysninger. Ved gennemførelsen af dette direktiv bør medlemsstaterne også yderligere kunne præcisere anvendelsen af bestemmelserne i forordning (EU) 2016/679 med forbehold af de betingelser, som er fastsat i forordningen.

| (35) | For at være lovlig bør en behandling af personoplysninger i medfør af dette direktiv være nødvendig for en kompetent myndigheds udførelse af en opgave i samfundets interesse på grundlag af EU-retten eller medlemsstaternes nationale ret med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed. Disse aktiviteter bør omfatte beskyttelsen af den registreredes vitale interesser. Udførelsen af opgaverne med at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger, som institutionelt er tillagt de kompetente myndigheder ved lov, gør det muligt for disse myndigheder at kræve, at fysiske personer efterlever de anmodninger, der fremsættes. I så fald bør den registreredes samtykke som defineret i forordning (EU) 2016/679 ikke udgøre et retsgrundlag for de kompetente myndigheders behandling af personoplysninger. Hvis det kræves, at den registrerede opfylder en retlig forpligtelse, har den registrerede ikke et reelt og frit valg, hvorfor den registreredes reaktion ikke kan anses for at være en frivillig viljetilkendegivelse. Dette bør ikke forhindre medlemsstaterne i ved lov at fastsætte bestemmelser om, at den registrerede kan acceptere behandling af vedkommendes personoplysninger med henblik på dette direktiv, som f.eks. DNA-test i strafferetlige efterforskninger eller elektronisk overvågning af vedkommendes geografiske position ved elektronisk fodlænke med henblik på fuldbyrdelse af strafferetlige sanktioner. |
| --- | --- |

(35)

For at være lovlig bør en behandling af personoplysninger i medfør af dette direktiv være nødvendig for en kompetent myndigheds udførelse af en opgave i samfundets interesse på grundlag af EU-retten eller medlemsstaternes nationale ret med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed. Disse aktiviteter bør omfatte beskyttelsen af den registreredes vitale interesser. Udførelsen af opgaverne med at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger, som institutionelt er tillagt de kompetente myndigheder ved lov, gør det muligt for disse myndigheder at kræve, at fysiske personer efterlever de anmodninger, der fremsættes. I så fald bør den registreredes samtykke som defineret i forordning (EU) 2016/679 ikke udgøre et retsgrundlag for de kompetente myndigheders behandling af personoplysninger. Hvis det kræves, at den registrerede opfylder en retlig forpligtelse, har den registrerede ikke et reelt og frit valg, hvorfor den registreredes reaktion ikke kan anses for at være en frivillig viljetilkendegivelse. Dette bør ikke forhindre medlemsstaterne i ved lov at fastsætte bestemmelser om, at den registrerede kan acceptere behandling af vedkommendes personoplysninger med henblik på dette direktiv, som f.eks. DNA-test i strafferetlige efterforskninger eller elektronisk overvågning af vedkommendes geografiske position ved elektronisk fodlænke med henblik på fuldbyrdelse af strafferetlige sanktioner.

| (36) | Medlemsstaterne bør, når EU-retten eller medlemsstatens nationale ret, der finder anvendelse for den videregivende kompetente myndighed, fastsætter særlige vilkår, der finder anvendelse under særlige omstændigheder på behandling af personoplysninger, såsom anvendelse af regler for behandling af oplysninger, fastsætte bestemmelser om, at den videregivende kompetente myndighed underretter modtageren af sådanne personoplysninger om disse vilkår og kravet om at opfylde dem. Sådanne vilkår kunne f.eks. indebære et forbud mod at videregive personoplysninger til andre, eller at anvende dem til andre formål end dem, på baggrund af hvilke de blev videregivet til modtageren, eller at underrette den registrerede i tilfælde af en begrænsning af retten til oplysninger uden forudgående godkendelse fra den videregivende kompetente myndighed. Disse forpligtelser bør også finde anvendelse for overførsler fra den videregivende kompetente myndighed til modtagere i tredjelande eller internationale organisationer. Medlemsstaterne bør sikre, at den videregivende kompetente myndighed ikke anvender sådanne betingelser på modtagere i andre medlemsstater eller på agenturer, kontorer og organer, der er oprettet i henhold til afsnit V, kapitel 4 og 5, i TEUF, bortset fra de betingelser, der gælder for lignende videregivelser af oplysninger inden for den pågældende kompetente myndigheds medlemsstat. |
| --- | --- |

(36)

Medlemsstaterne bør, når EU-retten eller medlemsstatens nationale ret, der finder anvendelse for den videregivende kompetente myndighed, fastsætter særlige vilkår, der finder anvendelse under særlige omstændigheder på behandling af personoplysninger, såsom anvendelse af regler for behandling af oplysninger, fastsætte bestemmelser om, at den videregivende kompetente myndighed underretter modtageren af sådanne personoplysninger om disse vilkår og kravet om at opfylde dem. Sådanne vilkår kunne f.eks. indebære et forbud mod at videregive personoplysninger til andre, eller at anvende dem til andre formål end dem, på baggrund af hvilke de blev videregivet til modtageren, eller at underrette den registrerede i tilfælde af en begrænsning af retten til oplysninger uden forudgående godkendelse fra den videregivende kompetente myndighed. Disse forpligtelser bør også finde anvendelse for overførsler fra den videregivende kompetente myndighed til modtagere i tredjelande eller internationale organisationer. Medlemsstaterne bør sikre, at den videregivende kompetente myndighed ikke anvender sådanne betingelser på modtagere i andre medlemsstater eller på agenturer, kontorer og organer, der er oprettet i henhold til afsnit V, kapitel 4 og 5, i TEUF, bortset fra de betingelser, der gælder for lignende videregivelser af oplysninger inden for den pågældende kompetente myndigheds medlemsstat.

| (37) | Personoplysninger, der i kraft af deres karakter er særligt følsomme i forhold til grundlæggende rettigheder og frihedsrettigheder, bør nyde specifik beskyttelse, da sammenhængen for behandlingen af dem kan indebære betydelige risici for grundlæggende rettigheder og frihedsrettigheder. Disse oplysninger bør omfatte personoplysninger om racemæssig eller etnisk oprindelse, idet anvendelsen af udtrykket »racemæssig oprindelse« i dette direktiv ikke betyder, at Unionen accepterer teorier, der søger at fastslå, at der findes forskellige menneskeracer. Sådanne personoplysninger bør ikke behandles, medmindre behandling er omfattet af de fornødne garantier for den registreredes rettigheder og frihedsrettigheder, der er fastsat ved lov, og er tilladt i tilfælde hjemlet ved lov; hvis ikke allerede er hjemlet i henhold til en sådan lov, behandlingen er nødvendig for at beskytte den registreredes eller en anden persons vitale interesser; eller behandlingen vedrører oplysninger, som tydeligvis er offentliggjort af den registrerede. Fornødne garantier for den registreredes rettigheder og frihedsrettigheder kan omfatte muligheden for kun at indsamle disse oplysninger i forbindelse med andre oplysninger om den pågældende fysiske person, muligheden for tilstrækkelig sikring af de indsamlede oplysninger, skærpede regler for den kompetente myndigheds personales adgang til oplysningerne og forbud mod videregivelse af disse oplysninger. Behandlingen af sådanne oplysninger bør desuden tillades ved lov, hvis den registrerede udtrykkeligt har givet sit samtykke til en behandling, som er særlig indgribende for vedkommende. Den registreredes samtykke bør dog ikke i sig selv udgøre et retsgrundlag for de kompetente myndigheders behandling af sådanne følsomme personoplysninger. |
| --- | --- |

(37)

Personoplysninger, der i kraft af deres karakter er særligt følsomme i forhold til grundlæggende rettigheder og frihedsrettigheder, bør nyde specifik beskyttelse, da sammenhængen for behandlingen af dem kan indebære betydelige risici for grundlæggende rettigheder og frihedsrettigheder. Disse oplysninger bør omfatte personoplysninger om racemæssig eller etnisk oprindelse, idet anvendelsen af udtrykket »racemæssig oprindelse« i dette direktiv ikke betyder, at Unionen accepterer teorier, der søger at fastslå, at der findes forskellige menneskeracer. Sådanne personoplysninger bør ikke behandles, medmindre behandling er omfattet af de fornødne garantier for den registreredes rettigheder og frihedsrettigheder, der er fastsat ved lov, og er tilladt i tilfælde hjemlet ved lov; hvis ikke allerede er hjemlet i henhold til en sådan lov, behandlingen er nødvendig for at beskytte den registreredes eller en anden persons vitale interesser; eller behandlingen vedrører oplysninger, som tydeligvis er offentliggjort af den registrerede. Fornødne garantier for den registreredes rettigheder og frihedsrettigheder kan omfatte muligheden for kun at indsamle disse oplysninger i forbindelse med andre oplysninger om den pågældende fysiske person, muligheden for tilstrækkelig sikring af de indsamlede oplysninger, skærpede regler for den kompetente myndigheds personales adgang til oplysningerne og forbud mod videregivelse af disse oplysninger. Behandlingen af sådanne oplysninger bør desuden tillades ved lov, hvis den registrerede udtrykkeligt har givet sit samtykke til en behandling, som er særlig indgribende for vedkommende. Den registreredes samtykke bør dog ikke i sig selv udgøre et retsgrundlag for de kompetente myndigheders behandling af sådanne følsomme personoplysninger.

| (38) | Den registrerede bør have ret til ikke at blive gjort til genstand for en afgørelse, der evaluerer personlige forhold vedrørende vedkommende, og som alene bygger på automatisk behandling, og som har negative retsvirkninger eller som betydeligt påvirker den pågældende. En sådan behandling bør under alle omstændigheder ledsages af de fornødne garantier, herunder specifik underretning af den registrerede og ret til menneskelig indgriben, navnlig til at fremkomme med sine synspunkter, til at få en forklaring på den afgørelse, der er truffet efter en sådan evaluering, og til at bestride afgørelsen. Profilering, der fører til forskelsbehandling af fysiske personer på grund af personoplysninger, der i kraft af deres karakter er særligt følsomme i forhold til de grundlæggende rettigheder og frihedsrettigheder, bør være forbudt på de betingelser, der er fastsat i chartrets artikel 21 og 52. |
| --- | --- |

(38)

Den registrerede bør have ret til ikke at blive gjort til genstand for en afgørelse, der evaluerer personlige forhold vedrørende vedkommende, og som alene bygger på automatisk behandling, og som har negative retsvirkninger eller som betydeligt påvirker den pågældende. En sådan behandling bør under alle omstændigheder ledsages af de fornødne garantier, herunder specifik underretning af den registrerede og ret til menneskelig indgriben, navnlig til at fremkomme med sine synspunkter, til at få en forklaring på den afgørelse, der er truffet efter en sådan evaluering, og til at bestride afgørelsen. Profilering, der fører til forskelsbehandling af fysiske personer på grund af personoplysninger, der i kraft af deres karakter er særligt følsomme i forhold til de grundlæggende rettigheder og frihedsrettigheder, bør være forbudt på de betingelser, der er fastsat i chartrets artikel 21 og 52.

| (39) | For at sætte den registrerede i stand til at udøve sine rettigheder, bør alle oplysninger til den registrerede være nemt tilgængelige, herunder på den dataansvarliges websted, og letforståelige, under anvendelse af et klart og forståeligt sprog. Sådanne oplysninger bør tilpasses behovene hos sårbare personer såsom børn. |
| --- | --- |

(39)

For at sætte den registrerede i stand til at udøve sine rettigheder, bør alle oplysninger til den registrerede være nemt tilgængelige, herunder på den dataansvarliges websted, og letforståelige, under anvendelse af et klart og forståeligt sprog. Sådanne oplysninger bør tilpasses behovene hos sårbare personer såsom børn.

| (40) | Der bør fastsættes nærmere regler, som kan lette udøvelsen af de registreredes rettigheder i medfør af de bestemmelser, der vedtages i henhold til dette direktiv, herunder mekanismer til at anmode om og i givet fald opnå navnlig gratis indsigt i og berigtigelse eller sletning af personoplysninger og begrænsning af behandling. Den dataansvarlige bør være forpligtet til at besvare sådanne anmodninger fra en registreret uden unødig forsinkelse, medmindre den dataansvarlige anvender begrænsninger af den registreredes rettigheder i overensstemmelse med dette direktiv. Hvis der imidlertid er tale om anmodninger, som er åbenbart grundløse eller uforholdsmæssige, som f.eks. når den registrerede på urimelig vis og gentagne gange anmoder om oplysninger, eller hvis den registrerede misbruger sin ret til at modtage oplysninger, f.eks. ved at give urigtige eller vildledende oplysninger ved fremsættelsen af anmodningen, bør den dataansvarlige kunne opkræve et rimeligt gebyr eller afvise at efterkomme anmodningen. |
| --- | --- |

(40)

Der bør fastsættes nærmere regler, som kan lette udøvelsen af de registreredes rettigheder i medfør af de bestemmelser, der vedtages i henhold til dette direktiv, herunder mekanismer til at anmode om og i givet fald opnå navnlig gratis indsigt i og berigtigelse eller sletning af personoplysninger og begrænsning af behandling. Den dataansvarlige bør være forpligtet til at besvare sådanne anmodninger fra en registreret uden unødig forsinkelse, medmindre den dataansvarlige anvender begrænsninger af den registreredes rettigheder i overensstemmelse med dette direktiv. Hvis der imidlertid er tale om anmodninger, som er åbenbart grundløse eller uforholdsmæssige, som f.eks. når den registrerede på urimelig vis og gentagne gange anmoder om oplysninger, eller hvis den registrerede misbruger sin ret til at modtage oplysninger, f.eks. ved at give urigtige eller vildledende oplysninger ved fremsættelsen af anmodningen, bør den dataansvarlige kunne opkræve et rimeligt gebyr eller afvise at efterkomme anmodningen.

| (41) | Hvis den dataansvarlige anmoder om supplerende oplysninger, der er nødvendige for at bekræfte den registreredes identitet, bør sådanne oplysninger kun behandles til dette specifikke formål og bør ikke opbevares længere end nødvendigt til dette formål. |
| --- | --- |

(41)

Hvis den dataansvarlige anmoder om supplerende oplysninger, der er nødvendige for at bekræfte den registreredes identitet, bør sådanne oplysninger kun behandles til dette specifikke formål og bør ikke opbevares længere end nødvendigt til dette formål.

| (42) | Som minimum bør følgende oplysninger gøres tilgængelige for den registrerede: den dataansvarliges identitet, behandlingsaktivitetens eksistens, formålene med behandlingen, retten til at indgive en klage og retten til at anmode den dataansvarlige om indsigt i og berigtigelse eller sletning af personoplysninger eller begrænsning af behandling. Dette kan ske på den kompetente myndigheds websted. Den registrerede bør endvidere i konkrete sager og for at muliggøre udøvelsen af vedkommendes rettigheder oplyses om retsgrundlaget for behandlingen og om, hvor længe oplysningerne opbevares, for så vidt som disse yderligere oplysninger er nødvendige under hensyntagen til de specifikke omstændigheder, hvorunder oplysningerne behandles med henblik på at sikre den registrerede en rimelig behandling af oplysningerne. |
| --- | --- |

(42)

Som minimum bør følgende oplysninger gøres tilgængelige for den registrerede: den dataansvarliges identitet, behandlingsaktivitetens eksistens, formålene med behandlingen, retten til at indgive en klage og retten til at anmode den dataansvarlige om indsigt i og berigtigelse eller sletning af personoplysninger eller begrænsning af behandling. Dette kan ske på den kompetente myndigheds websted. Den registrerede bør endvidere i konkrete sager og for at muliggøre udøvelsen af vedkommendes rettigheder oplyses om retsgrundlaget for behandlingen og om, hvor længe oplysningerne opbevares, for så vidt som disse yderligere oplysninger er nødvendige under hensyntagen til de specifikke omstændigheder, hvorunder oplysningerne behandles med henblik på at sikre den registrerede en rimelig behandling af oplysningerne.

| (43) | En fysisk person bør have ret til indsigt i oplysninger, der er indsamlet om vedkommende, og til let og med rimelige mellemrum at udøve denne ret med henblik på at forvisse sig om og kontrollere en behandlings lovlighed. Enhver registreret bør derfor navnlig have ret til at kende og blive underrettet om de formål, hvortil oplysningerne behandles, perioden, hvor oplysningerne behandles, og modtagerne af oplysningerne, herunder sådanne i tredjelande. Når sådan en underretning omfatter meddelelse om personoplysningernes oprindelse, bør oplysningerne ikke afsløre identiteten på fysiske personer, navnlig fortrolige kilder. Med henblik på overholdelse af denne ret er det tilstrækkeligt, at den registrerede er i besiddelse af et fuldstændigt resumé af disse oplysninger i en letforståelig form, det vil sige en form, der giver den pågældende registrerede mulighed for at blive opmærksom på disse oplysninger og kontrollere, at de er korrekte og behandlet i overensstemmelse med dette direktiv, så det er muligt for den pågældende at udøve de rettigheder, der tilkommer vedkommende i henhold til dette direktiv. Et sådant resumé kan have form af en kopi af de personoplysninger, der behandles. |
| --- | --- |

(43)

En fysisk person bør have ret til indsigt i oplysninger, der er indsamlet om vedkommende, og til let og med rimelige mellemrum at udøve denne ret med henblik på at forvisse sig om og kontrollere en behandlings lovlighed. Enhver registreret bør derfor navnlig have ret til at kende og blive underrettet om de formål, hvortil oplysningerne behandles, perioden, hvor oplysningerne behandles, og modtagerne af oplysningerne, herunder sådanne i tredjelande. Når sådan en underretning omfatter meddelelse om personoplysningernes oprindelse, bør oplysningerne ikke afsløre identiteten på fysiske personer, navnlig fortrolige kilder. Med henblik på overholdelse af denne ret er det tilstrækkeligt, at den registrerede er i besiddelse af et fuldstændigt resumé af disse oplysninger i en letforståelig form, det vil sige en form, der giver den pågældende registrerede mulighed for at blive opmærksom på disse oplysninger og kontrollere, at de er korrekte og behandlet i overensstemmelse med dette direktiv, så det er muligt for den pågældende at udøve de rettigheder, der tilkommer vedkommende i henhold til dette direktiv. Et sådant resumé kan have form af en kopi af de personoplysninger, der behandles.

| (44) | Medlemsstaterne bør have beføjelse til at vedtage lovgivningsmæssige foranstaltninger, der udsætter, begrænser eller afskærer meddelelse af oplysninger til de registrerede eller helt eller delvis begrænser deres ret til indsigt i oplysningerne, i det omfang og så længe en sådan foranstaltning udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under behørigt hensyn til den berørte fysiske persons grundlæggende rettigheder og legitime interesser, for at undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, for at undgå, at forebyggelsen, efterforskningen, afsløringen eller retsforfølgningen af strafbare handlinger skades, eller af hensyn til fuldbyrdelsen af strafferetlige sanktioner, for at beskytte den offentlige sikkerhed eller statens sikkerhed eller for at beskytte andres rettigheder og frihedsrettigheder. Den dataansvarlige bør gennem en konkret og individuel undersøgelse af de enkelte tilfælde vurdere, hvorvidt indsigtsretten helt eller delvis bør begrænses. |
| --- | --- |

(44)

Medlemsstaterne bør have beføjelse til at vedtage lovgivningsmæssige foranstaltninger, der udsætter, begrænser eller afskærer meddelelse af oplysninger til de registrerede eller helt eller delvis begrænser deres ret til indsigt i oplysningerne, i det omfang og så længe en sådan foranstaltning udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under behørigt hensyn til den berørte fysiske persons grundlæggende rettigheder og legitime interesser, for at undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, for at undgå, at forebyggelsen, efterforskningen, afsløringen eller retsforfølgningen af strafbare handlinger skades, eller af hensyn til fuldbyrdelsen af strafferetlige sanktioner, for at beskytte den offentlige sikkerhed eller statens sikkerhed eller for at beskytte andres rettigheder og frihedsrettigheder. Den dataansvarlige bør gennem en konkret og individuel undersøgelse af de enkelte tilfælde vurdere, hvorvidt indsigtsretten helt eller delvis bør begrænses.

| (45) | Ethvert afslag på eller begrænsning af indsigt bør i princippet meddeles den registrerede skriftligt og omfatte de faktuelle eller retlige årsager til afgørelsen. |
| --- | --- |

(45)

Ethvert afslag på eller begrænsning af indsigt bør i princippet meddeles den registrerede skriftligt og omfatte de faktuelle eller retlige årsager til afgørelsen.

| (46) | Enhver begrænsning af den registreredes rettigheder skal overholde chartret og EMRK som fortolket i retspraksis henholdsvis ved Domstolen og ved Den Europæiske Menneskerettighedsdomstol og navnlig respekten for det væsentlige indhold i disse rettigheder og frihedsrettigheder. |
| --- | --- |

(46)

Enhver begrænsning af den registreredes rettigheder skal overholde chartret og EMRK som fortolket i retspraksis henholdsvis ved Domstolen og ved Den Europæiske Menneskerettighedsdomstol og navnlig respekten for det væsentlige indhold i disse rettigheder og frihedsrettigheder.

| (47) | En fysisk person bør have ret til at få berigtiget urigtige personoplysninger om sig selv, navnlig når det angår faktiske omstændigheder, og til at få slettet oplysninger, hvis behandlingen af sådanne oplysninger overtræder dette direktiv. Retten til berigtigelse bør imidlertid ikke berøre eksempelvis indholdet af et vidneudsagn. En fysisk person bør også have ret til begrænsning af behandlingen, hvis vedkommende bestrider personoplysningers rigtighed, og det ikke kan konstateres, om oplysningerne er rigtige eller ej, eller hvis personoplysningerne skal bevares som bevismiddel. I stedet for at slette personoplysninger bør behandling navnlig begrænses, hvis der i et konkret tilfælde er rimelig grund til at tro, at sletning vil kunne påvirke den registreredes legitime interesser. I så fald bør begrænsede oplysninger kun behandles til det formål, der gjorde, at de ikke blev slettet. Metoderne til at begrænse behandlingen af personoplysninger kan bl.a. omfatte, at udvalgte oplysninger flyttes til et andet behandlingssystem, f.eks. til arkivformål, eller at udvalgte oplysninger gøres utilgængelige. I automatiske registre bør behandling i princippet begrænses ved hjælp af tekniske hjælpemidler. Det forhold, at behandlingen af personoplysningerne er begrænset, bør angives i registret på en sådan måde, at det tydeligt fremgår, at behandlingen af personoplysningerne er begrænset. En sådan berigtigelse eller sletning af personoplysninger eller begrænsning af behandling bør meddeles de modtagere, hvortil oplysningerne er videregivet, og de kompetente myndigheder, hvorfra de urigtige oplysninger stammer. Den dataansvarlige bør også afstå fra yderligere udbredelse af sådanne oplysninger. |
| --- | --- |

(47)

En fysisk person bør have ret til at få berigtiget urigtige personoplysninger om sig selv, navnlig når det angår faktiske omstændigheder, og til at få slettet oplysninger, hvis behandlingen af sådanne oplysninger overtræder dette direktiv. Retten til berigtigelse bør imidlertid ikke berøre eksempelvis indholdet af et vidneudsagn. En fysisk person bør også have ret til begrænsning af behandlingen, hvis vedkommende bestrider personoplysningers rigtighed, og det ikke kan konstateres, om oplysningerne er rigtige eller ej, eller hvis personoplysningerne skal bevares som bevismiddel. I stedet for at slette personoplysninger bør behandling navnlig begrænses, hvis der i et konkret tilfælde er rimelig grund til at tro, at sletning vil kunne påvirke den registreredes legitime interesser. I så fald bør begrænsede oplysninger kun behandles til det formål, der gjorde, at de ikke blev slettet. Metoderne til at begrænse behandlingen af personoplysninger kan bl.a. omfatte, at udvalgte oplysninger flyttes til et andet behandlingssystem, f.eks. til arkivformål, eller at udvalgte oplysninger gøres utilgængelige. I automatiske registre bør behandling i princippet begrænses ved hjælp af tekniske hjælpemidler. Det forhold, at behandlingen af personoplysningerne er begrænset, bør angives i registret på en sådan måde, at det tydeligt fremgår, at behandlingen af personoplysningerne er begrænset. En sådan berigtigelse eller sletning af personoplysninger eller begrænsning af behandling bør meddeles de modtagere, hvortil oplysningerne er videregivet, og de kompetente myndigheder, hvorfra de urigtige oplysninger stammer. Den dataansvarlige bør også afstå fra yderligere udbredelse af sådanne oplysninger.

| (48) | Hvis den dataansvarlige nægter en registreret dennes ret til oplysninger, indsigt i eller berigtigelse eller sletning af personoplysninger eller begrænsning af behandling, bør den registrerede have ret til at anmode om, at den nationale tilsynsmyndighed kontrollerer, at behandlingen af oplysningerne er lovlig. Den registrerede bør underrettes om denne rettighed. Hvis tilsynsmyndigheden handler på vegne af den registrerede, bør den registrerede som minimum underrettes af den pågældende tilsynsmyndighed om, at tilsynsmyndigheden har foretaget den nødvendige kontrol eller undersøgelse. Tilsynsmyndigheden bør også underrette den registrerede om adgangen til retsmidler. |
| --- | --- |

(48)

Hvis den dataansvarlige nægter en registreret dennes ret til oplysninger, indsigt i eller berigtigelse eller sletning af personoplysninger eller begrænsning af behandling, bør den registrerede have ret til at anmode om, at den nationale tilsynsmyndighed kontrollerer, at behandlingen af oplysningerne er lovlig. Den registrerede bør underrettes om denne rettighed. Hvis tilsynsmyndigheden handler på vegne af den registrerede, bør den registrerede som minimum underrettes af den pågældende tilsynsmyndighed om, at tilsynsmyndigheden har foretaget den nødvendige kontrol eller undersøgelse. Tilsynsmyndigheden bør også underrette den registrerede om adgangen til retsmidler.

| (49) | Hvis personoplysningerne behandles under en strafferetlig efterforskning og strafferetssag, bør medlemsstaterne kunne fastsætte bestemmelser om, at udøvelsen af retten til oplysninger, indsigt i og berigtigelse eller, sletning af personoplysninger og begrænsning af behandling skal udføres i henhold til de nationale retsplejeregler. |
| --- | --- |

(49)

Hvis personoplysningerne behandles under en strafferetlig efterforskning og strafferetssag, bør medlemsstaterne kunne fastsætte bestemmelser om, at udøvelsen af retten til oplysninger, indsigt i og berigtigelse eller, sletning af personoplysninger og begrænsning af behandling skal udføres i henhold til de nationale retsplejeregler.

| (50) | Der bør fastsættes bestemmelser om den dataansvarliges ansvar, herunder erstatningsansvar, for enhver behandling af personoplysninger, der foretages af den dataansvarlige eller på den dataansvarliges vegne. Den dataansvarlige bør navnlig have pligt til at gennemføre passende og effektive foranstaltninger og bør kunne påvise, at behandlingsaktiviteterne overholder dette direktiv. Sådanne foranstaltninger bør tage højde for behandlingens karakter, omfang, sammenhæng og formål samt risikoen for fysiske personers rettigheder og frihedsrettigheder. De foranstaltninger, som den dataansvarlige træffer, bør omfatte udarbejdelse og gennemførelse af særlige garantier vedrørende behandling af personoplysninger om sårbare fysiske personer såsom børn. |
| --- | --- |

(50)

Der bør fastsættes bestemmelser om den dataansvarliges ansvar, herunder erstatningsansvar, for enhver behandling af personoplysninger, der foretages af den dataansvarlige eller på den dataansvarliges vegne. Den dataansvarlige bør navnlig have pligt til at gennemføre passende og effektive foranstaltninger og bør kunne påvise, at behandlingsaktiviteterne overholder dette direktiv. Sådanne foranstaltninger bør tage højde for behandlingens karakter, omfang, sammenhæng og formål samt risikoen for fysiske personers rettigheder og frihedsrettigheder. De foranstaltninger, som den dataansvarlige træffer, bør omfatte udarbejdelse og gennemførelse af særlige garantier vedrørende behandling af personoplysninger om sårbare fysiske personer såsom børn.

| (51) | Risiciene for fysiske personers rettigheder og frihedsrettigheder, der er af varierende sandsynlighed og alvor, kan opstå som følge af behandling af oplysninger, der kan føre til fysisk, materiel eller immateriel skade, navnlig hvis behandlingen kan give anledning til forskelsbehandling, identitetstyveri eller -svig, finansielle tab, skade på omdømme, tab af fortrolighed for oplysninger, der er omfattet af tavshedspligt, uautoriseret ophævelse af pseudonymisering eller andre betydelige økonomiske eller sociale konsekvenser; hvis de registrerede kan blive berøvet deres rettigheder og frihedsrettigheder eller forhindret i at udøve kontrol med deres personoplysninger; hvis der behandles personoplysninger, der viser race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold; hvis genetiske data eller biometriske data behandles for entydigt at identificere en person, eller hvis helbredsoplysninger eller oplysninger om seksuelle forhold og seksuel orientering, straffedomme og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger behandles; hvis personlige forhold evalueres, navnlig analyse eller forudsigelse af forhold vedrørende indsats på arbejdspladsen, økonomisk situation, helbred, personlige præferencer eller interesser, pålidelighed eller adfærd eller geografisk position eller bevægelser, med henblik på at oprette eller anvende personlige profiler; hvis der behandles personoplysninger om sårbare fysiske personer, navnlig børn; eller hvis behandlingen omfatter en stor mængde personoplysninger og berører et stort antal registrerede. |
| --- | --- |

(51)

Risiciene for fysiske personers rettigheder og frihedsrettigheder, der er af varierende sandsynlighed og alvor, kan opstå som følge af behandling af oplysninger, der kan føre til fysisk, materiel eller immateriel skade, navnlig hvis behandlingen kan give anledning til forskelsbehandling, identitetstyveri eller -svig, finansielle tab, skade på omdømme, tab af fortrolighed for oplysninger, der er omfattet af tavshedspligt, uautoriseret ophævelse af pseudonymisering eller andre betydelige økonomiske eller sociale konsekvenser; hvis de registrerede kan blive berøvet deres rettigheder og frihedsrettigheder eller forhindret i at udøve kontrol med deres personoplysninger; hvis der behandles personoplysninger, der viser race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold; hvis genetiske data eller biometriske data behandles for entydigt at identificere en person, eller hvis helbredsoplysninger eller oplysninger om seksuelle forhold og seksuel orientering, straffedomme og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger behandles; hvis personlige forhold evalueres, navnlig analyse eller forudsigelse af forhold vedrørende indsats på arbejdspladsen, økonomisk situation, helbred, personlige præferencer eller interesser, pålidelighed eller adfærd eller geografisk position eller bevægelser, med henblik på at oprette eller anvende personlige profiler; hvis der behandles personoplysninger om sårbare fysiske personer, navnlig børn; eller hvis behandlingen omfatter en stor mængde personoplysninger og berører et stort antal registrerede.

| (52) | Risikoens sandsynlighed og alvor bør bestemmes med henvisning til behandlingens karakter, omfang, sammenhæng og formål. Risikoen bør evalueres på grundlag af en objektiv vurdering, hvorved det fastslås, om databehandlingsaktiviteter indebærer en høj risiko. En høj risiko er en særlig risiko for skade på de registreredes rettigheder og frihedsrettigheder. |
| --- | --- |

(52)

Risikoens sandsynlighed og alvor bør bestemmes med henvisning til behandlingens karakter, omfang, sammenhæng og formål. Risikoen bør evalueres på grundlag af en objektiv vurdering, hvorved det fastslås, om databehandlingsaktiviteter indebærer en høj risiko. En høj risiko er en særlig risiko for skade på de registreredes rettigheder og frihedsrettigheder.

| (53) | Beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger kræver, at der træffes passende tekniske og organisatoriske foranstaltninger for at sikre, at dette direktivs krav opfyldes. Gennemførelsen af sådanne foranstaltninger bør ikke alene afhænge af økonomiske hensyn. For at kunne påvise overholdelse af dette direktiv bør den dataansvarlige vedtage interne politikker og gennemføre foranstaltninger, som især lever op til principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger. Hvis den dataansvarlige har foretaget en konsekvensanalyse vedrørende databeskyttelse i henhold til dette direktiv, bør der tages behørigt hensyn til resultaterne heraf i forbindelse med udviklingen af disse foranstaltninger og procedurer. Foranstaltningerne kan bl.a. bestå i anvendelse af pseudonymisering tidligst muligt. Anvendelse af pseudonymisering med henblik på dette direktiv kan tjene som et redskab, der navnlig kan lette fri udveksling af personoplysninger inden for området med frihed, sikkerhed og retfærdighed. |
| --- | --- |

(53)

Beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger kræver, at der træffes passende tekniske og organisatoriske foranstaltninger for at sikre, at dette direktivs krav opfyldes. Gennemførelsen af sådanne foranstaltninger bør ikke alene afhænge af økonomiske hensyn. For at kunne påvise overholdelse af dette direktiv bør den dataansvarlige vedtage interne politikker og gennemføre foranstaltninger, som især lever op til principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger. Hvis den dataansvarlige har foretaget en konsekvensanalyse vedrørende databeskyttelse i henhold til dette direktiv, bør der tages behørigt hensyn til resultaterne heraf i forbindelse med udviklingen af disse foranstaltninger og procedurer. Foranstaltningerne kan bl.a. bestå i anvendelse af pseudonymisering tidligst muligt. Anvendelse af pseudonymisering med henblik på dette direktiv kan tjene som et redskab, der navnlig kan lette fri udveksling af personoplysninger inden for området med frihed, sikkerhed og retfærdighed.

| (54) | Beskyttelse af registreredes rettigheder og frihedsrettigheder samt dataansvarliges og databehandlernes ansvar, herunder erstatningsansvar, også i forbindelse med tilsynsmyndighedernes kontrol og foranstaltninger, kræver en klar fordeling af de ansvarsområder, der er fastsat i dette direktiv, herunder når en dataansvarlig fastlægger formålene med og hjælpemidlerne til behandlingen sammen med andre dataansvarlige, eller når en behandlingsaktivitet foretages på vegne af en dataansvarlig. |
| --- | --- |

(54)

Beskyttelse af registreredes rettigheder og frihedsrettigheder samt dataansvarliges og databehandlernes ansvar, herunder erstatningsansvar, også i forbindelse med tilsynsmyndighedernes kontrol og foranstaltninger, kræver en klar fordeling af de ansvarsområder, der er fastsat i dette direktiv, herunder når en dataansvarlig fastlægger formålene med og hjælpemidlerne til behandlingen sammen med andre dataansvarlige, eller når en behandlingsaktivitet foretages på vegne af en dataansvarlig.

| (55) | En databehandlers behandling bør være omfattet af et retligt dokument, herunder en kontrakt, der binder databehandleren til den dataansvarlige, og som navnlig fastlægger, at databehandleren alene bør handle efter instruks fra den dataansvarlige. Databehandleren bør tage hensyn til principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger. |
| --- | --- |

(55)

En databehandlers behandling bør være omfattet af et retligt dokument, herunder en kontrakt, der binder databehandleren til den dataansvarlige, og som navnlig fastlægger, at databehandleren alene bør handle efter instruks fra den dataansvarlige. Databehandleren bør tage hensyn til principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger.

| (56) | For at påvise overholdelse af dette direktiv bør den dataansvarlige eller databehandleren føre fortegnelser over alle kategorier af behandlingsaktiviteter under sit ansvar. Hver dataansvarlig og databehandler bør have pligt til at samarbejde med tilsynsmyndigheden og efter anmodning stille disse fortegnelser til rådighed for tilsynsmyndigheden, så de kan bruges til at føre tilsyn med sådanne behandlingsaktiviteter. Den dataansvarlige eller databehandler, der behandler personoplysninger i ikkeautomatiske databehandlingssystemer, bør have indført effektive metoder til at påvise, at behandlingen er lovlig, udøve egenkontrol og sikre dataintegriteten og datasikkerheden, såsom logning eller andre former for fortegnelser. |
| --- | --- |

(56)

For at påvise overholdelse af dette direktiv bør den dataansvarlige eller databehandleren føre fortegnelser over alle kategorier af behandlingsaktiviteter under sit ansvar. Hver dataansvarlig og databehandler bør have pligt til at samarbejde med tilsynsmyndigheden og efter anmodning stille disse fortegnelser til rådighed for tilsynsmyndigheden, så de kan bruges til at føre tilsyn med sådanne behandlingsaktiviteter. Den dataansvarlige eller databehandler, der behandler personoplysninger i ikkeautomatiske databehandlingssystemer, bør have indført effektive metoder til at påvise, at behandlingen er lovlig, udøve egenkontrol og sikre dataintegriteten og datasikkerheden, såsom logning eller andre former for fortegnelser.

| (57) | Der bør som minimum ske logning af aktiviteter i automatiske databehandlingssystemer såsom indsamling, ændring, søgning, videregivelse, herunder overførsel, samkøring eller sletning. Navnet på den person, som har søgt eller videregivet personoplysninger, bør logges, og herudfra bør det være muligt at fastlægge begrundelsen for behandlingsaktiviteterne. Loggene bør udelukkende anvendes til at kontrollere, om databehandlingen er lovlig, til egenkontrol, til at sikre dataintegriteten og datasikkerheden og i forbindelse med straffesager. Egenkontrol omfatter også kompetente myndigheders interne disciplinærsager. |
| --- | --- |

(57)

Der bør som minimum ske logning af aktiviteter i automatiske databehandlingssystemer såsom indsamling, ændring, søgning, videregivelse, herunder overførsel, samkøring eller sletning. Navnet på den person, som har søgt eller videregivet personoplysninger, bør logges, og herudfra bør det være muligt at fastlægge begrundelsen for behandlingsaktiviteterne. Loggene bør udelukkende anvendes til at kontrollere, om databehandlingen er lovlig, til egenkontrol, til at sikre dataintegriteten og datasikkerheden og i forbindelse med straffesager. Egenkontrol omfatter også kompetente myndigheders interne disciplinærsager.

| (58) | Den dataansvarlige bør foretage en konsekvensanalyse af databeskyttelsen, hvis behandlingsaktiviteterne sandsynligvis vil indebære en høj risiko for den registreredes rettigheder og frihedsrettigheder som følge af deres karakter, omfang eller formål, som navnlig bør omfatte de foranstaltninger, garantier og mekanismer, der er planlagt for at sikre beskyttelsen af personoplysninger, og at påvise overholdelse af dette direktiv. Konsekvensanalyser bør omfatte behandlingsaktiviteters relevante systemer og processer, men ikke enkeltsager. |
| --- | --- |

(58)

Den dataansvarlige bør foretage en konsekvensanalyse af databeskyttelsen, hvis behandlingsaktiviteterne sandsynligvis vil indebære en høj risiko for den registreredes rettigheder og frihedsrettigheder som følge af deres karakter, omfang eller formål, som navnlig bør omfatte de foranstaltninger, garantier og mekanismer, der er planlagt for at sikre beskyttelsen af personoplysninger, og at påvise overholdelse af dette direktiv. Konsekvensanalyser bør omfatte behandlingsaktiviteters relevante systemer og processer, men ikke enkeltsager.

| (59) | For at sikre en effektiv beskyttelse af de registreredes rettigheder og frihedsrettigheder bør den dataansvarlige eller databehandleren i visse tilfælde høre tilsynsmyndigheden inden behandlingen. |
| --- | --- |

(59)

For at sikre en effektiv beskyttelse af de registreredes rettigheder og frihedsrettigheder bør den dataansvarlige eller databehandleren i visse tilfælde høre tilsynsmyndigheden inden behandlingen.

| (60) | For at opretholde sikkerheden og forhindre behandling i strid med dette direktiv bør den dataansvarlige eller databehandleren vurdere de risici, som en behandling indebærer, og bør gennemføre foranstaltninger, der kan begrænse disse risici, som f.eks. kryptering. Sådanne foranstaltninger bør sikre et tilstrækkeligt sikkerhedsniveau, herunder fortrolighed, og tage hensyn til det aktuelle tekniske niveau, implementeringsomkostningerne i forhold til risikoen og karakteren af de personoplysninger, der skal beskyttes. Ved vurderingen af datasikkerhedsrisici bør der tages hensyn til de risici, som behandling af oplysninger indebærer, såsom hændelig eller ulovlig tilintetgørelse, tab, ændring eller uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet, og som navnlig kan føre til fysisk, materiel eller immateriel skade. Den dataansvarlige og databehandleren bør sikre, at behandlingen af personoplysninger ikke udføres af uautoriserede personer. |
| --- | --- |

(60)

For at opretholde sikkerheden og forhindre behandling i strid med dette direktiv bør den dataansvarlige eller databehandleren vurdere de risici, som en behandling indebærer, og bør gennemføre foranstaltninger, der kan begrænse disse risici, som f.eks. kryptering. Sådanne foranstaltninger bør sikre et tilstrækkeligt sikkerhedsniveau, herunder fortrolighed, og tage hensyn til det aktuelle tekniske niveau, implementeringsomkostningerne i forhold til risikoen og karakteren af de personoplysninger, der skal beskyttes. Ved vurderingen af datasikkerhedsrisici bør der tages hensyn til de risici, som behandling af oplysninger indebærer, såsom hændelig eller ulovlig tilintetgørelse, tab, ændring eller uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet, og som navnlig kan føre til fysisk, materiel eller immateriel skade. Den dataansvarlige og databehandleren bør sikre, at behandlingen af personoplysninger ikke udføres af uautoriserede personer.

| (61) | Et brud på persondatasikkerheden kan, hvis det ikke håndteres på en passende og rettidig måde, påføre fysiske personer fysisk, materiel eller immateriel skade, såsom tab af kontrol over deres personoplysninger eller begrænsning af deres rettigheder, forskelsbehandling, identitetstyveri eller -svig, finansielle tab, uautoriseret ophævelse af pseudonymisering, skade på omdømme, tab af fortrolighed for personoplysninger, der er omfattet af tavshedspligt, eller andre væsentlige økonomiske eller sociale konsekvenser for den berørte fysiske person. Så snart den dataansvarlige bliver bekendt med, at der er sket et brud på persondatasikkerheden, bør den dataansvarlige derfor anmelde bruddet på persondatasikkerheden til tilsynsmyndigheden uden unødig forsinkelse og om muligt inden for 72 timer efter, at denne er blevet bekendt med det, medmindre den dataansvarlige i overensstemmelse med ansvarlighedsprincippet kan påvise, at bruddet på persondatasikkerheden sandsynligvis ikke vil indebære en risiko for fysiske personers rettigheder og frihedsrettigheder. Hvis en sådan anmeldelse ikke kan ske inden for 72 timer, bør den ledsages af en begrundelse for forsinkelsen, og oplysningerne kan gives trinvis uden unødig yderligere forsinkelse. |
| --- | --- |

(61)

Et brud på persondatasikkerheden kan, hvis det ikke håndteres på en passende og rettidig måde, påføre fysiske personer fysisk, materiel eller immateriel skade, såsom tab af kontrol over deres personoplysninger eller begrænsning af deres rettigheder, forskelsbehandling, identitetstyveri eller -svig, finansielle tab, uautoriseret ophævelse af pseudonymisering, skade på omdømme, tab af fortrolighed for personoplysninger, der er omfattet af tavshedspligt, eller andre væsentlige økonomiske eller sociale konsekvenser for den berørte fysiske person. Så snart den dataansvarlige bliver bekendt med, at der er sket et brud på persondatasikkerheden, bør den dataansvarlige derfor anmelde bruddet på persondatasikkerheden til tilsynsmyndigheden uden unødig forsinkelse og om muligt inden for 72 timer efter, at denne er blevet bekendt med det, medmindre den dataansvarlige i overensstemmelse med ansvarlighedsprincippet kan påvise, at bruddet på persondatasikkerheden sandsynligvis ikke vil indebære en risiko for fysiske personers rettigheder og frihedsrettigheder. Hvis en sådan anmeldelse ikke kan ske inden for 72 timer, bør den ledsages af en begrundelse for forsinkelsen, og oplysningerne kan gives trinvis uden unødig yderligere forsinkelse.

| (62) | Fysiske personer bør uden unødig forsinkelse oplyses derom, når bruddet på persondatasikkerheden sandsynligvis vil indebære en høj risiko for de fysiske personers rettigheder og frihedsrettigheder, med henblik på at give dem mulighed for at træffe de nødvendige forholdsregler. Underretningen bør beskrive karakteren af bruddet på persondatasikkerheden og indeholde anbefalinger til den berørte fysiske person med henblik på at begrænse de mulige skadevirkninger. Underretninger til registrerede bør gives, så snart det med rimelighed er muligt, i tæt samarbejde med tilsynsmyndigheden og i overensstemmelse med retningslinjer, der er udstukket af denne eller andre relevante myndigheder. Eksempelvis kræver behovet for at begrænse en umiddelbar risiko for skade omgående underretning af de registrerede, mens behovet for at gennemføre passende foranstaltninger mod fortsatte eller lignende brud på persondatasikkerheden kan begrunde en længere frist for underretningen. Hvor det ikke er muligt at undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer, at undgå, at forebyggelsen, afsløringen, efterforskningen eller retsforfølgningen af strafbare handlinger eller fuldbyrdelsen af strafferetlige sanktioner skades, at beskytte den offentlige sikkerhed eller statens sikkerhed eller at beskytte andres rettigheder og frihedsrettigheder ved at udsætte eller begrænse underretningen af brud på persondatasikkerheden til den berørte fysiske person, kan denne underretning under særlige omstændigheder udelades. |
| --- | --- |

(62)

Fysiske personer bør uden unødig forsinkelse oplyses derom, når bruddet på persondatasikkerheden sandsynligvis vil indebære en høj risiko for de fysiske personers rettigheder og frihedsrettigheder, med henblik på at give dem mulighed for at træffe de nødvendige forholdsregler. Underretningen bør beskrive karakteren af bruddet på persondatasikkerheden og indeholde anbefalinger til den berørte fysiske person med henblik på at begrænse de mulige skadevirkninger. Underretninger til registrerede bør gives, så snart det med rimelighed er muligt, i tæt samarbejde med tilsynsmyndigheden og i overensstemmelse med retningslinjer, der er udstukket af denne eller andre relevante myndigheder. Eksempelvis kræver behovet for at begrænse en umiddelbar risiko for skade omgående underretning af de registrerede, mens behovet for at gennemføre passende foranstaltninger mod fortsatte eller lignende brud på persondatasikkerheden kan begrunde en længere frist for underretningen. Hvor det ikke er muligt at undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer, at undgå, at forebyggelsen, afsløringen, efterforskningen eller retsforfølgningen af strafbare handlinger eller fuldbyrdelsen af strafferetlige sanktioner skades, at beskytte den offentlige sikkerhed eller statens sikkerhed eller at beskytte andres rettigheder og frihedsrettigheder ved at udsætte eller begrænse underretningen af brud på persondatasikkerheden til den berørte fysiske person, kan denne underretning under særlige omstændigheder udelades.

| (63) | Den dataansvarlige bør udpege en person, der skal hjælpe denne med at overvåge, at de bestemmelser, der vedtages i henhold til dette direktiv, overholdes internt, medmindre en medlemsstat beslutter at fritage domstole og andre uafhængige judicielle myndigheder, når de udfører deres judicielle opgaver. Denne person kan være en af den dataansvarliges eksisterende medarbejdere, som har fået særlig uddannelse inden for databeskyttelsesret og -praksis for at tilegne sig ekspertise på dette område. Den nødvendige ekspertise fastlægges navnlig i henhold til den databehandling, der skal udføres, og den beskyttelse, der kræves for de personoplysninger, som den dataansvarlige behandler. Vedkommendes opgaver vil kunne udføres på deltid eller fuldtid. Flere dataansvarlige kan udpege en fælles databeskyttelsesansvarlig i overensstemmelse med deres struktur og størrelse, for eksempel i tilfælde af fælles ressourcer i centrale enheder. Denne person kan også udpeges til forskellige stillinger i de berørte dataansvarliges struktur. Denne person bør hjælpe den dataansvarlige og de medarbejdere, der behandler personoplysninger, ved at oplyse og rådgive dem om opfyldelse af deres relevante databeskyttelsesforpligtelser. Disse databeskyttelsesrådgivere bør være i stand til at udøve deres opgaver på uafhængig vis i henhold til medlemsstaternes nationale ret. |
| --- | --- |

(63)

Den dataansvarlige bør udpege en person, der skal hjælpe denne med at overvåge, at de bestemmelser, der vedtages i henhold til dette direktiv, overholdes internt, medmindre en medlemsstat beslutter at fritage domstole og andre uafhængige judicielle myndigheder, når de udfører deres judicielle opgaver. Denne person kan være en af den dataansvarliges eksisterende medarbejdere, som har fået særlig uddannelse inden for databeskyttelsesret og -praksis for at tilegne sig ekspertise på dette område. Den nødvendige ekspertise fastlægges navnlig i henhold til den databehandling, der skal udføres, og den beskyttelse, der kræves for de personoplysninger, som den dataansvarlige behandler. Vedkommendes opgaver vil kunne udføres på deltid eller fuldtid. Flere dataansvarlige kan udpege en fælles databeskyttelsesansvarlig i overensstemmelse med deres struktur og størrelse, for eksempel i tilfælde af fælles ressourcer i centrale enheder. Denne person kan også udpeges til forskellige stillinger i de berørte dataansvarliges struktur. Denne person bør hjælpe den dataansvarlige og de medarbejdere, der behandler personoplysninger, ved at oplyse og rådgive dem om opfyldelse af deres relevante databeskyttelsesforpligtelser. Disse databeskyttelsesrådgivere bør være i stand til at udøve deres opgaver på uafhængig vis i henhold til medlemsstaternes nationale ret.

| (64) | Medlemsstaterne bør sikre, at overførsel af personoplysninger til et tredjeland eller til en international organisation kun sker, hvis det er nødvendigt for at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, og at den dataansvarlige i det pågældende tredjeland eller den pågældende internationale organisation er en kompetent offentlig myndighed som defineret i dette direktiv. Der bør kun finde overførsel sted ved kompetente myndigheder, der fungerer som dataansvarlige, medmindre databehandlere har fået udtrykkelige instrukser om overførsel på vegne af dataansvarlige. En sådan overførsel kan finde sted i de tilfælde, hvor Kommissionen har afgjort, at det pågældende tredjeland eller den pågældende internationale organisation sikrer et tilstrækkeligt beskyttelsesniveau, hvis der er indført de fornødne garantier eller hvis der gælder undtagelser i særlige situationer. Når personoplysninger videregives fra Unionen til dataansvarlige, databehandlere eller andre modtagere i tredjelande eller til internationale organisationer, må det beskyttelsesniveau for fysiske personer, som er fastsat i Unionen i medfør af dette direktiv, ikke undermineres, herunder i tilfælde af videreoverførsel af personoplysninger fra tredjelandet eller den internationale organisation til dataansvarlige eller databehandlere i det samme eller et andet tredjeland eller en anden international organisation. |
| --- | --- |

(64)

Medlemsstaterne bør sikre, at overførsel af personoplysninger til et tredjeland eller til en international organisation kun sker, hvis det er nødvendigt for at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, og at den dataansvarlige i det pågældende tredjeland eller den pågældende internationale organisation er en kompetent offentlig myndighed som defineret i dette direktiv. Der bør kun finde overførsel sted ved kompetente myndigheder, der fungerer som dataansvarlige, medmindre databehandlere har fået udtrykkelige instrukser om overførsel på vegne af dataansvarlige. En sådan overførsel kan finde sted i de tilfælde, hvor Kommissionen har afgjort, at det pågældende tredjeland eller den pågældende internationale organisation sikrer et tilstrækkeligt beskyttelsesniveau, hvis der er indført de fornødne garantier eller hvis der gælder undtagelser i særlige situationer. Når personoplysninger videregives fra Unionen til dataansvarlige, databehandlere eller andre modtagere i tredjelande eller til internationale organisationer, må det beskyttelsesniveau for fysiske personer, som er fastsat i Unionen i medfør af dette direktiv, ikke undermineres, herunder i tilfælde af videreoverførsel af personoplysninger fra tredjelandet eller den internationale organisation til dataansvarlige eller databehandlere i det samme eller et andet tredjeland eller en anden international organisation.

| (65) | Hvis der overføres personoplysninger fra en medlemsstat til tredjelande eller internationale organisationer, bør denne overførsel principielt kun finde sted, efter at den medlemsstat, hvor oplysningerne blev indsamlet, har godkendt overførslen. Af hensyn til et effektivt samarbejde på retshåndhævelsesområdet bør den kompetente myndighed være i stand til at overføre de relevante personoplysninger til det pågældende tredjeland eller den pågældende internationale organisation uden en sådan forudgående godkendelse i tilfælde, hvor truslen mod den offentlige sikkerhed i en medlemsstat eller et tredjeland eller mod en medlemsstats væsentlige interesser er af en så hastende karakter, at det er umuligt at indhente en forudgående godkendelse i tide. Medlemsstaterne bør fastsætte bestemmelser om, at alle særlige betingelser vedrørende overførslen bør meddeles til tredjelande eller internationale organisationer. Videreoverførsel af personoplysninger bør være genstand for forudgående godkendelse af den kompetente myndighed, som foretog den oprindelige overførsel. Når der træffes afgørelse om en anmodning om tilladelse til videreoverførsel, bør den kompetente myndighed, som foretog den oprindelige overførsel, tage behørigt hensyn til alle relevante faktorer, herunder den strafbare handlings grovhed, de særlige betingelser, der gælder for den oprindelige overførsel, og det formål, hvortil oplysningerne oprindeligt blev overført, karakteren af og betingelserne for fuldbyrdelsen af den strafferetlige sanktion og beskyttelsesniveauet for personoplysninger i det tredjeland eller den internationale organisation, som personoplysningerne videreoverføres til. Den kompetente myndighed, som foretog den oprindelige overførsel, bør også kunne fastsætte særlige betingelser for videreoverførselen. Sådanne særlige betingelser kan f.eks. beskrives i regler for behandling af oplysninger. |
| --- | --- |

(65)

Hvis der overføres personoplysninger fra en medlemsstat til tredjelande eller internationale organisationer, bør denne overførsel principielt kun finde sted, efter at den medlemsstat, hvor oplysningerne blev indsamlet, har godkendt overførslen. Af hensyn til et effektivt samarbejde på retshåndhævelsesområdet bør den kompetente myndighed være i stand til at overføre de relevante personoplysninger til det pågældende tredjeland eller den pågældende internationale organisation uden en sådan forudgående godkendelse i tilfælde, hvor truslen mod den offentlige sikkerhed i en medlemsstat eller et tredjeland eller mod en medlemsstats væsentlige interesser er af en så hastende karakter, at det er umuligt at indhente en forudgående godkendelse i tide. Medlemsstaterne bør fastsætte bestemmelser om, at alle særlige betingelser vedrørende overførslen bør meddeles til tredjelande eller internationale organisationer. Videreoverførsel af personoplysninger bør være genstand for forudgående godkendelse af den kompetente myndighed, som foretog den oprindelige overførsel. Når der træffes afgørelse om en anmodning om tilladelse til videreoverførsel, bør den kompetente myndighed, som foretog den oprindelige overførsel, tage behørigt hensyn til alle relevante faktorer, herunder den strafbare handlings grovhed, de særlige betingelser, der gælder for den oprindelige overførsel, og det formål, hvortil oplysningerne oprindeligt blev overført, karakteren af og betingelserne for fuldbyrdelsen af den strafferetlige sanktion og beskyttelsesniveauet for personoplysninger i det tredjeland eller den internationale organisation, som personoplysningerne videreoverføres til. Den kompetente myndighed, som foretog den oprindelige overførsel, bør også kunne fastsætte særlige betingelser for videreoverførselen. Sådanne særlige betingelser kan f.eks. beskrives i regler for behandling af oplysninger.

| (66) | Kommissionen bør med virkning for hele Unionen træffe afgørelse om, at visse tredjelande, et område eller en eller flere specifikke sektorer i et tredjeland, eller en international organisation har et tilstrækkeligt databeskyttelsesniveau, og dermed skabe retssikkerhed og ensartethed i hele Unionen, hvad angår de tredjelande eller internationale organisationer, der vurderes at have et sådant beskyttelsesniveau. I sådanne tilfælde bør personoplysninger kunne overføres til disse lande uden yderligere godkendelse, undtagen når en anden medlemsstat, hvor oplysningerne blev indsamlet, skal godkende overførslen. |
| --- | --- |

(66)

Kommissionen bør med virkning for hele Unionen træffe afgørelse om, at visse tredjelande, et område eller en eller flere specifikke sektorer i et tredjeland, eller en international organisation har et tilstrækkeligt databeskyttelsesniveau, og dermed skabe retssikkerhed og ensartethed i hele Unionen, hvad angår de tredjelande eller internationale organisationer, der vurderes at have et sådant beskyttelsesniveau. I sådanne tilfælde bør personoplysninger kunne overføres til disse lande uden yderligere godkendelse, undtagen når en anden medlemsstat, hvor oplysningerne blev indsamlet, skal godkende overførslen.

| (67) | I overensstemmelse med de grundlæggende værdier, som Unionen bygger på, navnlig beskyttelse af menneskerettighederne, bør Kommissionen i sin vurdering af et tredjeland eller et område eller en specifik sektor i et tredjeland tage hensyn til, hvordan et bestemt tredjeland efterlever retsstatsprincippet, klageadgang og domstolsprøvelse, internationale menneskerettighedsnormer og -standarder samt sin generelle og sektorbestemte ret, herunder lovgivning vedrørende offentlig sikkerhed, forsvar, statens sikkerhed samt offentlig orden og strafferet. Når der vedtages en afgørelse om tilstrækkeligheden af beskyttelsesniveauet i et område eller en specifik sektor i et tredjeland, bør der tages hensyn til klare og objektive kriterier, som f.eks. specifikke behandlingsaktiviteter og anvendelsesområdet for gældende retsstandarder og lovgivning i tredjelandet. Tredjelandet bør give garantier, der sikrer et passende beskyttelsesniveau, som i det væsentlige svarer til det, der sikres i Unionen, især når oplysninger behandles i en eller flere specifikke sektorer. Tredjelandet bør navnlig sikre et effektivt og uafhængigt databeskyttelsestilsyn og bør fastlægge samarbejdsmekanismer med medlemsstaternes databeskyttelsesmyndigheder, og de registrerede bør have effektive rettigheder, som kan håndhæves, og adgang til effektiv administrativ og retslig prøvelse. |
| --- | --- |

(67)

I overensstemmelse med de grundlæggende værdier, som Unionen bygger på, navnlig beskyttelse af menneskerettighederne, bør Kommissionen i sin vurdering af et tredjeland eller et område eller en specifik sektor i et tredjeland tage hensyn til, hvordan et bestemt tredjeland efterlever retsstatsprincippet, klageadgang og domstolsprøvelse, internationale menneskerettighedsnormer og -standarder samt sin generelle og sektorbestemte ret, herunder lovgivning vedrørende offentlig sikkerhed, forsvar, statens sikkerhed samt offentlig orden og strafferet. Når der vedtages en afgørelse om tilstrækkeligheden af beskyttelsesniveauet i et område eller en specifik sektor i et tredjeland, bør der tages hensyn til klare og objektive kriterier, som f.eks. specifikke behandlingsaktiviteter og anvendelsesområdet for gældende retsstandarder og lovgivning i tredjelandet. Tredjelandet bør give garantier, der sikrer et passende beskyttelsesniveau, som i det væsentlige svarer til det, der sikres i Unionen, især når oplysninger behandles i en eller flere specifikke sektorer. Tredjelandet bør navnlig sikre et effektivt og uafhængigt databeskyttelsestilsyn og bør fastlægge samarbejdsmekanismer med medlemsstaternes databeskyttelsesmyndigheder, og de registrerede bør have effektive rettigheder, som kan håndhæves, og adgang til effektiv administrativ og retslig prøvelse.

| (68) | Ud over de internationale forpligtelser, som tredjelandet eller den internationale organisation har indgået, bør Kommissionen også tage hensyn til forpligtelser, der følger af tredjelandets eller den internationale organisations deltagelse i multilaterale eller regionale systemer, navnlig i forbindelse med beskyttelse af personoplysninger, samt gennemførelsen af sådanne forpligtelser. Der bør navnlig tages hensyn til tredjelandets tiltrædelse af Europarådets konvention af 28. januar 1981 om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger og tillægsprotokollen hertil. Kommissionen bør høre Det Europæiske Databeskyttelsesråd oprettet ved forordning (EU) 2016/679 (»Databeskyttelsesrådet«), når den vurderer beskyttelsesniveauet i tredjelande eller internationale organisationer. Kommissionen bør også tage hensyn til eventuelle kommissionsafgørelser om tilstrækkeligheden af beskyttelsesniveauet vedtaget i overensstemmelse med artikel 45 i forordning (EU) 2016/679. |
| --- | --- |

(68)

Ud over de internationale forpligtelser, som tredjelandet eller den internationale organisation har indgået, bør Kommissionen også tage hensyn til forpligtelser, der følger af tredjelandets eller den internationale organisations deltagelse i multilaterale eller regionale systemer, navnlig i forbindelse med beskyttelse af personoplysninger, samt gennemførelsen af sådanne forpligtelser. Der bør navnlig tages hensyn til tredjelandets tiltrædelse af Europarådets konvention af 28. januar 1981 om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger og tillægsprotokollen hertil. Kommissionen bør høre Det Europæiske Databeskyttelsesråd oprettet ved forordning (EU) 2016/679 (»Databeskyttelsesrådet«), når den vurderer beskyttelsesniveauet i tredjelande eller internationale organisationer. Kommissionen bør også tage hensyn til eventuelle kommissionsafgørelser om tilstrækkeligheden af beskyttelsesniveauet vedtaget i overensstemmelse med artikel 45 i forordning (EU) 2016/679.

| (69) | Kommissionen bør overvåge virkningen af afgørelser om beskyttelsesniveauet i et tredjeland, et område eller en specifik sektor i et tredjeland eller en international organisation. I sine afgørelser om tilstrækkeligheden af beskyttelsesniveauet bør Kommissionen fastsætte en mekanisme for regelmæssig revision af afgørelsernes virkning. Denne regelmæssige revision bør foretages i samråd med det pågældende tredjeland eller den pågældende internationale organisation og tage hensyn til enhver relevant udvikling i tredjelandet eller den internationale organisation. |
| --- | --- |

(69)

Kommissionen bør overvåge virkningen af afgørelser om beskyttelsesniveauet i et tredjeland, et område eller en specifik sektor i et tredjeland eller en international organisation. I sine afgørelser om tilstrækkeligheden af beskyttelsesniveauet bør Kommissionen fastsætte en mekanisme for regelmæssig revision af afgørelsernes virkning. Denne regelmæssige revision bør foretages i samråd med det pågældende tredjeland eller den pågældende internationale organisation og tage hensyn til enhver relevant udvikling i tredjelandet eller den internationale organisation.

| (70) | Kommissionen bør også kunne fastslå, at et tredjeland, et område eller en specifik sektor i et tredjeland, eller en international organisation ikke længere sikrer et tilstrækkeligt databeskyttelsesniveau. Overførsel af personoplysninger til et sådant tredjeland eller en sådan international organisation bør derfor forbydes, medmindre kravene i dette direktiv vedrørende overførsel omfattet af fornødne garantier og undtagelser i særlige situationer, er opfyldt. Der bør fastlægges bestemmelser om en procedure for konsultationer mellem Kommissionen og sådanne tredjelande eller internationale organisationer. Kommissionen bør rettidigt underrette tredjelandet eller den internationale organisation om årsagerne og indlede konsultationer med tredjelandet eller den internationale organisation for at afhjælpe situationen. |
| --- | --- |

(70)

Kommissionen bør også kunne fastslå, at et tredjeland, et område eller en specifik sektor i et tredjeland, eller en international organisation ikke længere sikrer et tilstrækkeligt databeskyttelsesniveau. Overførsel af personoplysninger til et sådant tredjeland eller en sådan international organisation bør derfor forbydes, medmindre kravene i dette direktiv vedrørende overførsel omfattet af fornødne garantier og undtagelser i særlige situationer, er opfyldt. Der bør fastlægges bestemmelser om en procedure for konsultationer mellem Kommissionen og sådanne tredjelande eller internationale organisationer. Kommissionen bør rettidigt underrette tredjelandet eller den internationale organisation om årsagerne og indlede konsultationer med tredjelandet eller den internationale organisation for at afhjælpe situationen.

| (71) | Overførsler, der ikke er baseret på en sådan afgørelse om tilstrækkeligheden af beskyttelsesniveauet, bør kun tillades, hvis der er givet de fornødne garantier i et juridisk bindende instrument, der sikrer beskyttelsen af personoplysninger, eller hvis den dataansvarlige har vurderet samtlige de forhold, der har indflydelse på overførslen, og på grundlag af denne vurdering konkluderer, at de fornødne garantier for beskyttelsen af personoplysninger er til stede. Sådanne juridisk bindende instrumenter kunne for eksempel være juridisk bindende bilaterale aftaler, der er indgået af medlemsstaterne og gennemført i deres retsorden, og som kan håndhæves af de registrerede i disse stater, og som sikrer, at databeskyttelseskravene og de registreredes rettigheder opfyldes, herunder retten til effektiv administrativ eller retslig prøvelse. Den dataansvarlige bør ved vurderingen af samtlige forhold, der har indflydelse på overførslen, kunne tage højde for samarbejdsaftaler, der er indgået mellem Europol eller Eurojust og tredjelande, som tillader udveksling af personoplysninger. Den dataansvarlige bør også kunne tage højde for, at overførslen af personoplysninger vil være underlagt tavshedspligt og omfattet af specialitetsprincippet, hvorved det sikres, at oplysningerne ikke bliver behandlet til andre formål end formålene med overførslen. Desuden bør den dataansvarlige tage højde for, at personoplysningerne ikke vil blive anvendt til at kræve, idømme eller fuldbyrde dødsstraf eller nogen anden form for grusom og umenneskelig behandling. Selv om disse betingelser kan betragtes som værende fornødne garantier, der muliggør overførsel af oplysninger, bør den dataansvarlige kunne kræve yderligere garantier. |
| --- | --- |

(71)

Overførsler, der ikke er baseret på en sådan afgørelse om tilstrækkeligheden af beskyttelsesniveauet, bør kun tillades, hvis der er givet de fornødne garantier i et juridisk bindende instrument, der sikrer beskyttelsen af personoplysninger, eller hvis den dataansvarlige har vurderet samtlige de forhold, der har indflydelse på overførslen, og på grundlag af denne vurdering konkluderer, at de fornødne garantier for beskyttelsen af personoplysninger er til stede. Sådanne juridisk bindende instrumenter kunne for eksempel være juridisk bindende bilaterale aftaler, der er indgået af medlemsstaterne og gennemført i deres retsorden, og som kan håndhæves af de registrerede i disse stater, og som sikrer, at databeskyttelseskravene og de registreredes rettigheder opfyldes, herunder retten til effektiv administrativ eller retslig prøvelse. Den dataansvarlige bør ved vurderingen af samtlige forhold, der har indflydelse på overførslen, kunne tage højde for samarbejdsaftaler, der er indgået mellem Europol eller Eurojust og tredjelande, som tillader udveksling af personoplysninger. Den dataansvarlige bør også kunne tage højde for, at overførslen af personoplysninger vil være underlagt tavshedspligt og omfattet af specialitetsprincippet, hvorved det sikres, at oplysningerne ikke bliver behandlet til andre formål end formålene med overførslen. Desuden bør den dataansvarlige tage højde for, at personoplysningerne ikke vil blive anvendt til at kræve, idømme eller fuldbyrde dødsstraf eller nogen anden form for grusom og umenneskelig behandling. Selv om disse betingelser kan betragtes som værende fornødne garantier, der muliggør overførsel af oplysninger, bør den dataansvarlige kunne kræve yderligere garantier.

| (72) | Hvis der ikke er vedtaget en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, eller de fornødne garantier ikke foreligger, kan en overførsel eller en kategori af overførsler kun finde sted i særlige situationer, hvis det er nødvendigt for at beskytte den registreredes eller en anden persons vitale interesser eller beskytte den registreredes legitime interesser, såfremt der er hjemmel hertil i national ret i den medlemsstat, der overfører personoplysningerne, for at forebygge en umiddelbar og alvorlig trussel mod en medlemsstats eller et tredjelands offentlige sikkerhed, eller i enkeltsager med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, eller i enkeltsager med henblik på at retskrav kan fastlægges, gøres gældende eller forsvares. Disse undtagelser bør fortolkes restriktivt og bør ikke give mulighed for hyppige, omfattende og strukturelle overførsler af personoplysninger eller omfattende overførsler af oplysninger, men bør begrænses til de oplysninger, der er strengt nødvendige. Sådanne overførsler bør dokumenteres og efter anmodning stilles til rådighed for tilsynsmyndigheden med henblik på at føre tilsyn med, om overførslen er lovlig. |
| --- | --- |

(72)

Hvis der ikke er vedtaget en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, eller de fornødne garantier ikke foreligger, kan en overførsel eller en kategori af overførsler kun finde sted i særlige situationer, hvis det er nødvendigt for at beskytte den registreredes eller en anden persons vitale interesser eller beskytte den registreredes legitime interesser, såfremt der er hjemmel hertil i national ret i den medlemsstat, der overfører personoplysningerne, for at forebygge en umiddelbar og alvorlig trussel mod en medlemsstats eller et tredjelands offentlige sikkerhed, eller i enkeltsager med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, eller i enkeltsager med henblik på at retskrav kan fastlægges, gøres gældende eller forsvares. Disse undtagelser bør fortolkes restriktivt og bør ikke give mulighed for hyppige, omfattende og strukturelle overførsler af personoplysninger eller omfattende overførsler af oplysninger, men bør begrænses til de oplysninger, der er strengt nødvendige. Sådanne overførsler bør dokumenteres og efter anmodning stilles til rådighed for tilsynsmyndigheden med henblik på at føre tilsyn med, om overførslen er lovlig.

| (73) | Medlemsstaternes kompetente myndigheder anvender gældende bilaterale eller multilaterale internationale aftaler, der er indgået med tredjelande om retligt samarbejde i straffesager og politisamarbejde, til udveksling af relevante oplysninger, så de kan udføre de opgaver, der er tildelt dem efter loven. Dette sker principielt via eller i det mindste i samarbejde med de myndigheder, der i de pågældende tredjelande er kompetente med henblik på dette direktiv, undertiden selv i mangel af en bilateral eller multilateral international aftale. I konkrete enkeltsager kan de regelmæssige procedurer, der kræver kontakt med en sådan myndighed i tredjelandet, være ineffektive eller uhensigtsmæssige, navnlig fordi overførslen ikke kunne gennemføres rettidigt, eller fordi den nævnte myndighed i tredjelandet ikke respekterer retsstatsprincippet eller internationale menneskerettighedsnormer og -standarder, således at medlemsstaternes kompetente myndigheder kan beslutte at overføre personoplysninger direkte til modtagere i disse tredjelande. Dette kan være tilfældet, hvis der er akut behov for at overføre personoplysninger for at redde en persons liv, som er i fare for at blive offer for en strafbar handling, eller for at forhindre en nært forestående forbrydelse, herunder terrorisme. Selv om en sådan overførsel mellem kompetente myndigheder og modtagere i tredjelande kun bør finde sted i konkrete enkeltsager, bør dette direktiv fastsætte betingelser for regulering af sådanne tilfælde. Disse bestemmelser bør ikke betragtes som værende undtagelser fra eksisterende bilaterale eller multilaterale internationale aftaler om retligt samarbejde i straffesager og politisamarbejde. Disse regler bør finde anvendelse som supplement til de andre regler i dette direktiv, navnlig reglerne om lovlig behandling af personoplysninger og reglerne i kapitel V. |
| --- | --- |

(73)

Medlemsstaternes kompetente myndigheder anvender gældende bilaterale eller multilaterale internationale aftaler, der er indgået med tredjelande om retligt samarbejde i straffesager og politisamarbejde, til udveksling af relevante oplysninger, så de kan udføre de opgaver, der er tildelt dem efter loven. Dette sker principielt via eller i det mindste i samarbejde med de myndigheder, der i de pågældende tredjelande er kompetente med henblik på dette direktiv, undertiden selv i mangel af en bilateral eller multilateral international aftale. I konkrete enkeltsager kan de regelmæssige procedurer, der kræver kontakt med en sådan myndighed i tredjelandet, være ineffektive eller uhensigtsmæssige, navnlig fordi overførslen ikke kunne gennemføres rettidigt, eller fordi den nævnte myndighed i tredjelandet ikke respekterer retsstatsprincippet eller internationale menneskerettighedsnormer og -standarder, således at medlemsstaternes kompetente myndigheder kan beslutte at overføre personoplysninger direkte til modtagere i disse tredjelande. Dette kan være tilfældet, hvis der er akut behov for at overføre personoplysninger for at redde en persons liv, som er i fare for at blive offer for en strafbar handling, eller for at forhindre en nært forestående forbrydelse, herunder terrorisme. Selv om en sådan overførsel mellem kompetente myndigheder og modtagere i tredjelande kun bør finde sted i konkrete enkeltsager, bør dette direktiv fastsætte betingelser for regulering af sådanne tilfælde. Disse bestemmelser bør ikke betragtes som værende undtagelser fra eksisterende bilaterale eller multilaterale internationale aftaler om retligt samarbejde i straffesager og politisamarbejde. Disse regler bør finde anvendelse som supplement til de andre regler i dette direktiv, navnlig reglerne om lovlig behandling af personoplysninger og reglerne i kapitel V.

| (74) | Når personoplysninger overføres på tværs af grænser, kan det medføre yderligere risici for fysiske personers mulighed for at udøve deres databeskyttelsesrettigheder for at beskytte sig mod ulovlig brug eller videregivelse af disse oplysninger. Samtidig må tilsynsmyndighederne i nogle tilfælde konstatere, at de ikke kan følge op på klager eller foretage undersøgelser vedrørende aktiviteter uden for deres grænser. Samarbejdet på tværs af grænserne kan også hæmmes af utilstrækkelige forebyggende eller afhjælpende beføjelser og uensartede retlige ordninger. Der er derfor behov for at fremme tættere samarbejde mellem datatilsynsmyndigheder, så de bedre kan udveksle oplysninger med de tilsvarende udenlandske organer. |
| --- | --- |

(74)

Når personoplysninger overføres på tværs af grænser, kan det medføre yderligere risici for fysiske personers mulighed for at udøve deres databeskyttelsesrettigheder for at beskytte sig mod ulovlig brug eller videregivelse af disse oplysninger. Samtidig må tilsynsmyndighederne i nogle tilfælde konstatere, at de ikke kan følge op på klager eller foretage undersøgelser vedrørende aktiviteter uden for deres grænser. Samarbejdet på tværs af grænserne kan også hæmmes af utilstrækkelige forebyggende eller afhjælpende beføjelser og uensartede retlige ordninger. Der er derfor behov for at fremme tættere samarbejde mellem datatilsynsmyndigheder, så de bedre kan udveksle oplysninger med de tilsvarende udenlandske organer.

| (75) | Oprettelse af tilsynsmyndigheder i medlemsstaterne, som kan udøve deres hverv i fuld uafhængighed, har afgørende betydning for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger. Tilsynsmyndighederne bør føre tilsyn med anvendelsen af de bestemmelser, der vedtages i henhold til dette direktiv, og bidrage til en ensartet anvendelse i hele Unionen med det formål at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger. Med henblik herpå bør tilsynsmyndighederne samarbejde med hinanden og med Kommissionen. |
| --- | --- |

(75)

Oprettelse af tilsynsmyndigheder i medlemsstaterne, som kan udøve deres hverv i fuld uafhængighed, har afgørende betydning for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger. Tilsynsmyndighederne bør føre tilsyn med anvendelsen af de bestemmelser, der vedtages i henhold til dette direktiv, og bidrage til en ensartet anvendelse i hele Unionen med det formål at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger. Med henblik herpå bør tilsynsmyndighederne samarbejde med hinanden og med Kommissionen.

| (76) | Medlemsstaterne kan overdrage ansvaret for de opgaver, som skal udføres af de nationale tilsynsmyndigheder, der oprettes i henhold til dette direktiv, til en tilsynsmyndighed, der allerede er oprettet i henhold til forordning (EU) 2016/679. |
| --- | --- |

(76)

Medlemsstaterne kan overdrage ansvaret for de opgaver, som skal udføres af de nationale tilsynsmyndigheder, der oprettes i henhold til dette direktiv, til en tilsynsmyndighed, der allerede er oprettet i henhold til forordning (EU) 2016/679.

| (77) | Medlemsstaterne bør kunne oprette mere end én tilsynsmyndighed for at afspejle deres forfatningsmæssige, organisatoriske og administrative struktur. Hver tilsynsmyndighed bør have de nødvendige finansielle og menneskelige ressourcer, samt lokaler og infrastrukturer til effektivt at kunne udføre sine opgaver, herunder opgaver vedrørende gensidig bistand og samarbejde med andre tilsynsmyndigheder i hele Unionen. Hver tilsynsmyndighed bør have et separat offentligt årligt budget, der kan indgå i det samlede statsbudget eller nationale budget. |
| --- | --- |

(77)

Medlemsstaterne bør kunne oprette mere end én tilsynsmyndighed for at afspejle deres forfatningsmæssige, organisatoriske og administrative struktur. Hver tilsynsmyndighed bør have de nødvendige finansielle og menneskelige ressourcer, samt lokaler og infrastrukturer til effektivt at kunne udføre sine opgaver, herunder opgaver vedrørende gensidig bistand og samarbejde med andre tilsynsmyndigheder i hele Unionen. Hver tilsynsmyndighed bør have et separat offentligt årligt budget, der kan indgå i det samlede statsbudget eller nationale budget.

| (78) | Tilsynsmyndighederne bør være underlagt uafhængige kontrol- eller overvågningsmekanismer, hvad angår deres finansielle udgifter, forudsat at sådan finansiel kontrol ikke påvirker deres uafhængighed. |
| --- | --- |

(78)

Tilsynsmyndighederne bør være underlagt uafhængige kontrol- eller overvågningsmekanismer, hvad angår deres finansielle udgifter, forudsat at sådan finansiel kontrol ikke påvirker deres uafhængighed.

| (79) | De generelle betingelser for tilsynsmyndighedens medlem eller medlemmer bør fastsættes ved medlemsstaternes nationale ret og bør navnlig fastsætte, at disse medlemmer udnævnes af enten parlamentet eller regeringen eller statschefen i den pågældende medlemsstat på grundlag af et forslag fra regeringen eller et medlem af regeringen eller parlamentet eller et kammer i parlamentet eller af et uafhængigt organ, der i henhold til medlemsstaternes nationale ret har bemyndigelse til udnævnelsen ved en gennemsigtig procedure. For at sikre tilsynsmyndighedens uafhængighed bør medlemmet eller medlemmerne handle med integritet, afholde sig fra enhver handling, der er uforenelig med deres hverv, og ikke, så længe deres embedsperiode varer, udøve uforenelig lønnet eller ulønnet virksomhed. For at sikre tilsynsmyndighedens uafhængighed bør personalet udvælges af tilsynsmyndigheden, eventuelt med medvirken af et uafhængigt organ, der har fået bemyndigelse hertil i henhold til medlemsstaternes nationale ret. |
| --- | --- |

(79)

De generelle betingelser for tilsynsmyndighedens medlem eller medlemmer bør fastsættes ved medlemsstaternes nationale ret og bør navnlig fastsætte, at disse medlemmer udnævnes af enten parlamentet eller regeringen eller statschefen i den pågældende medlemsstat på grundlag af et forslag fra regeringen eller et medlem af regeringen eller parlamentet eller et kammer i parlamentet eller af et uafhængigt organ, der i henhold til medlemsstaternes nationale ret har bemyndigelse til udnævnelsen ved en gennemsigtig procedure. For at sikre tilsynsmyndighedens uafhængighed bør medlemmet eller medlemmerne handle med integritet, afholde sig fra enhver handling, der er uforenelig med deres hverv, og ikke, så længe deres embedsperiode varer, udøve uforenelig lønnet eller ulønnet virksomhed. For at sikre tilsynsmyndighedens uafhængighed bør personalet udvælges af tilsynsmyndigheden, eventuelt med medvirken af et uafhængigt organ, der har fået bemyndigelse hertil i henhold til medlemsstaternes nationale ret.

| (80) | Selv om dette direktiv også finder anvendelse på de nationale domstoles og andre judicielle myndigheders aktiviteter, bør tilsynsmyndighedernes kompetence ikke omfatte behandling af personoplysninger, når domstole handler i deres egenskab af domstol, for at sikre dommernes uafhængighed under udførelsen af deres judicielle opgaver. Denne undtagelse bør begrænses til retlige aktiviteter i forbindelse med retssager og ikke gælde for andre aktiviteter, hvori dommere kan deltage i henhold til medlemsstaternes nationale ret. Medlemsstaterne bør også kunne fastsætte bestemmelser om, at tilsynsmyndighedens kompetence ikke omfatter andre uafhængige judicielle myndigheders behandling af personoplysninger, når de udfører deres judicielle opgaver, f.eks. anklagemyndigheden. Under alle omstændigheder er domstolenes og andre uafhængige judicielle myndigheders overholdelse af reglerne i dette direktiv altid underlagt en uafhængig myndigheds kontrol i overensstemmelse med chartrets artikel 8, stk. 3. |
| --- | --- |

(80)

Selv om dette direktiv også finder anvendelse på de nationale domstoles og andre judicielle myndigheders aktiviteter, bør tilsynsmyndighedernes kompetence ikke omfatte behandling af personoplysninger, når domstole handler i deres egenskab af domstol, for at sikre dommernes uafhængighed under udførelsen af deres judicielle opgaver. Denne undtagelse bør begrænses til retlige aktiviteter i forbindelse med retssager og ikke gælde for andre aktiviteter, hvori dommere kan deltage i henhold til medlemsstaternes nationale ret. Medlemsstaterne bør også kunne fastsætte bestemmelser om, at tilsynsmyndighedens kompetence ikke omfatter andre uafhængige judicielle myndigheders behandling af personoplysninger, når de udfører deres judicielle opgaver, f.eks. anklagemyndigheden. Under alle omstændigheder er domstolenes og andre uafhængige judicielle myndigheders overholdelse af reglerne i dette direktiv altid underlagt en uafhængig myndigheds kontrol i overensstemmelse med chartrets artikel 8, stk. 3.

| (81) | Hver tilsynsmyndighed bør behandle klager, der indgives af registrerede, og undersøge sagen eller videresende den til den kompetente myndighed. Undersøgelsen af en klage bør foretages i det omfang det er passende i det specifikke tilfælde, med forbehold af domstolskontrol. Tilsynsmyndigheden bør underrette den registrerede om forløbet og resultatet af klagen inden for en rimelig frist. Hvis sagen kræver yderligere undersøgelse eller koordinering med en anden tilsynsmyndighed, bør den registrerede undervejs underrettes herom. |
| --- | --- |

(81)

Hver tilsynsmyndighed bør behandle klager, der indgives af registrerede, og undersøge sagen eller videresende den til den kompetente myndighed. Undersøgelsen af en klage bør foretages i det omfang det er passende i det specifikke tilfælde, med forbehold af domstolskontrol. Tilsynsmyndigheden bør underrette den registrerede om forløbet og resultatet af klagen inden for en rimelig frist. Hvis sagen kræver yderligere undersøgelse eller koordinering med en anden tilsynsmyndighed, bør den registrerede undervejs underrettes herom.

| (82) | For at sikre effektiv, pålidelig og ensartet tilsyn med overholdelse og håndhævelse af dette direktiv i hele Unionen i henhold til TEUF som fortolket af Domstolen bør tilsynsmyndighederne i hver medlemsstat have samme opgaver og effektive beføjelser, herunder undersøgelsesbeføjelser, korrigerende beføjelser og rådgivningsbeføjelser, som udgør nødvendige midler for udførelsen af deres opgaver. Disse myndigheders beføjelser bør imidlertid ikke gribe ind i de særlige regler for straffesager, herunder efterforskning og retsforfølgning af strafbare handlinger, eller i retsvæsnets uafhængighed. Uden at dette berører de retsforfølgende myndigheders beføjelser i henhold til medlemsstaternes nationale ret, bør tilsynsmyndigheder også have beføjelse til at indbringe overtrædelser af dette direktiv for de judicielle myndigheder eller deltage i retssager. Tilsynsmyndighedernes beføjelser bør udøves i overensstemmelse med de fornødne retssikkerhedsgarantier, der er fastsat i EU-retten og medlemsstaternes nationale ret, uvildigt, retfærdigt og inden for en rimelig frist. Hver foranstaltning bør navnlig være passende, nødvendig og forholdsmæssig for at sikre overholdelsen af dette direktiv, idet der tages hensyn til omstændighederne i hver enkelt sag, bør overholde enhver persons ret til at blive hørt, inden der træffes en individuel foranstaltning, som vil berøre den pågældende person negativt, og undgå overflødige udgifter og urimelige ulemper for denne person. Hvad angår adgang til lokaliteter bør undersøgelsesbeføjelserne udøves i henhold til særlige krav i medlemsstaternes nationale ret, f.eks. kravet om en forudgående retskendelse. Vedtagelsen af en juridisk bindende afgørelse bør være underlagt domstolskontrol i medlemsstaten for den tilsynsmyndighed, der har vedtaget afgørelsen. |
| --- | --- |

(82)

For at sikre effektiv, pålidelig og ensartet tilsyn med overholdelse og håndhævelse af dette direktiv i hele Unionen i henhold til TEUF som fortolket af Domstolen bør tilsynsmyndighederne i hver medlemsstat have samme opgaver og effektive beføjelser, herunder undersøgelsesbeføjelser, korrigerende beføjelser og rådgivningsbeføjelser, som udgør nødvendige midler for udførelsen af deres opgaver. Disse myndigheders beføjelser bør imidlertid ikke gribe ind i de særlige regler for straffesager, herunder efterforskning og retsforfølgning af strafbare handlinger, eller i retsvæsnets uafhængighed. Uden at dette berører de retsforfølgende myndigheders beføjelser i henhold til medlemsstaternes nationale ret, bør tilsynsmyndigheder også have beføjelse til at indbringe overtrædelser af dette direktiv for de judicielle myndigheder eller deltage i retssager. Tilsynsmyndighedernes beføjelser bør udøves i overensstemmelse med de fornødne retssikkerhedsgarantier, der er fastsat i EU-retten og medlemsstaternes nationale ret, uvildigt, retfærdigt og inden for en rimelig frist. Hver foranstaltning bør navnlig være passende, nødvendig og forholdsmæssig for at sikre overholdelsen af dette direktiv, idet der tages hensyn til omstændighederne i hver enkelt sag, bør overholde enhver persons ret til at blive hørt, inden der træffes en individuel foranstaltning, som vil berøre den pågældende person negativt, og undgå overflødige udgifter og urimelige ulemper for denne person. Hvad angår adgang til lokaliteter bør undersøgelsesbeføjelserne udøves i henhold til særlige krav i medlemsstaternes nationale ret, f.eks. kravet om en forudgående retskendelse. Vedtagelsen af en juridisk bindende afgørelse bør være underlagt domstolskontrol i medlemsstaten for den tilsynsmyndighed, der har vedtaget afgørelsen.

| (83) | Tilsynsmyndighederne bør bistå hinanden i forbindelse med udførelsen af deres opgaver og yde gensidig bistand for at sikre ensartet anvendelse og håndhævelse af de bestemmelser, der vedtages i henhold til dette direktiv. |
| --- | --- |

(83)

Tilsynsmyndighederne bør bistå hinanden i forbindelse med udførelsen af deres opgaver og yde gensidig bistand for at sikre ensartet anvendelse og håndhævelse af de bestemmelser, der vedtages i henhold til dette direktiv.

| (84) | Databeskyttelsesrådet bør bidrage til en ensartet anvendelse af dette direktiv i hele Unionen, herunder ved at rådgive Kommissionen og fremme samarbejdet mellem tilsynsmyndighederne i hele Unionen. |
| --- | --- |

(84)

Databeskyttelsesrådet bør bidrage til en ensartet anvendelse af dette direktiv i hele Unionen, herunder ved at rådgive Kommissionen og fremme samarbejdet mellem tilsynsmyndighederne i hele Unionen.

| (85) | Enhver registreret bør have ret til at indgive klage til en enkelt tilsynsmyndighed og have adgang til effektive retsmidler i overensstemmelse med artikel 47 i chartret, hvis den registrerede finder, at vedkommendes rettigheder i medfør af de bestemmelser, der vedtages i henhold til dette direktiv, er blevet krænket, eller hvis tilsynsmyndigheden ikke reagerer på en klage, delvist eller helt afslår eller afviser en klage eller ikke handler, hvis handling er nødvendig for at beskytte den registreredes rettigheder. Undersøgelse af en klage bør foretages i det omfang, det er passende i det specifikke tilfælde, med forbehold af domstolskontrol. Den kompetente tilsynsmyndighed bør underrette den registrerede om forløbet og resultatet af klagen inden for en rimelig frist. Hvis sagen kræver yderligere undersøgelse eller koordinering med en anden tilsynsmyndighed, bør den registrerede undervejs underrettes herom. For at lette indgivelsen af klager bør hver tilsynsmyndighed træffe foranstaltninger som f.eks. at tilbyde en klageformular, der også kan udfyldes elektronisk, uden at udelukke andre kommunikationsmidler. |
| --- | --- |

(85)

Enhver registreret bør have ret til at indgive klage til en enkelt tilsynsmyndighed og have adgang til effektive retsmidler i overensstemmelse med artikel 47 i chartret, hvis den registrerede finder, at vedkommendes rettigheder i medfør af de bestemmelser, der vedtages i henhold til dette direktiv, er blevet krænket, eller hvis tilsynsmyndigheden ikke reagerer på en klage, delvist eller helt afslår eller afviser en klage eller ikke handler, hvis handling er nødvendig for at beskytte den registreredes rettigheder. Undersøgelse af en klage bør foretages i det omfang, det er passende i det specifikke tilfælde, med forbehold af domstolskontrol. Den kompetente tilsynsmyndighed bør underrette den registrerede om forløbet og resultatet af klagen inden for en rimelig frist. Hvis sagen kræver yderligere undersøgelse eller koordinering med en anden tilsynsmyndighed, bør den registrerede undervejs underrettes herom. For at lette indgivelsen af klager bør hver tilsynsmyndighed træffe foranstaltninger som f.eks. at tilbyde en klageformular, der også kan udfyldes elektronisk, uden at udelukke andre kommunikationsmidler.

| (86) | Enhver fysisk eller juridisk person bør have adgang til effektive retsmidler ved den kompetente nationale domstol til prøvelse af en tilsynsmyndigheds afgørelse, som har retsvirkninger for denne person. En sådan afgørelse vedrører navnlig tilsynsmyndighedens udøvelse af undersøgelsesbeføjelser, korrigerende beføjelser og godkendelsesbeføjelser eller afslag eller afvisning af klager. Denne ret omfatter dog ikke andre foranstaltninger truffet af tilsynsmyndigheder, der ikke er juridisk bindende, som f.eks. udtalelser eller rådgivning fra tilsynsmyndigheden. En sag mod en tilsynsmyndighed bør anlægges ved domstolene i den medlemsstat, hvor tilsynsmyndigheden er etableret, og bør føres i henhold til medlemsstatens nationale ret. Disse domstole bør have fuld jurisdiktion, herunder jurisdiktion til at undersøge alle de faktiske og retlige omstændigheder, der er relevante for den tvist, som de får forelagt. |
| --- | --- |

(86)

Enhver fysisk eller juridisk person bør have adgang til effektive retsmidler ved den kompetente nationale domstol til prøvelse af en tilsynsmyndigheds afgørelse, som har retsvirkninger for denne person. En sådan afgørelse vedrører navnlig tilsynsmyndighedens udøvelse af undersøgelsesbeføjelser, korrigerende beføjelser og godkendelsesbeføjelser eller afslag eller afvisning af klager. Denne ret omfatter dog ikke andre foranstaltninger truffet af tilsynsmyndigheder, der ikke er juridisk bindende, som f.eks. udtalelser eller rådgivning fra tilsynsmyndigheden. En sag mod en tilsynsmyndighed bør anlægges ved domstolene i den medlemsstat, hvor tilsynsmyndigheden er etableret, og bør føres i henhold til medlemsstatens nationale ret. Disse domstole bør have fuld jurisdiktion, herunder jurisdiktion til at undersøge alle de faktiske og retlige omstændigheder, der er relevante for den tvist, som de får forelagt.

| (87) | Hvis en registreret finder, at vedkommendes rettigheder i henhold til dette direktiv er blevet krænket, bør den pågældende have ret til at give et organ, der er etableret i henhold til medlemsstaternes nationale ret, og som har til formål at beskytte registreredes rettigheder og interesser i forbindelse med beskyttelsen af deres personoplysninger, bemyndigelse til på vedkommendes vegne at indgive en klage til en tilsynsmyndighed og udøve adgangen til retsmidler. Registreredes ret til at være repræsenteret bør ikke berøre medlemsstaternes nationale retsplejeregler, som vil kunne kræve obligatorisk repræsentation af registrerede ved en advokat som defineret i Rådets direktiv 77/249/EØF (10) for en national domstol. |
| --- | --- |

(87)

Hvis en registreret finder, at vedkommendes rettigheder i henhold til dette direktiv er blevet krænket, bør den pågældende have ret til at give et organ, der er etableret i henhold til medlemsstaternes nationale ret, og som har til formål at beskytte registreredes rettigheder og interesser i forbindelse med beskyttelsen af deres personoplysninger, bemyndigelse til på vedkommendes vegne at indgive en klage til en tilsynsmyndighed og udøve adgangen til retsmidler. Registreredes ret til at være repræsenteret bør ikke berøre medlemsstaternes nationale retsplejeregler, som vil kunne kræve obligatorisk repræsentation af registrerede ved en advokat som defineret i Rådets direktiv 77/249/EØF (10) for en national domstol.

| (88) | Personer, der måtte lide skade som følge af en behandling, der overtræder de bestemmelser, der vedtages i henhold til dette direktiv, bør have ret til erstatning fra den dataansvarlige eller en hvilken som helst anden myndighed, der er kompetent i henhold til medlemsstaternes nationale ret. Begrebet »skade« bør fortolkes bredt i lyset af retspraksis ved Domstolen, således at det fuldt ud afspejler formålene for dette direktiv. Dette berører ikke eventuelle erstatningskrav for skade som følge af overtrædelse af andre bestemmelser i EU-retten eller medlemsstaternes nationale ret. Når der henvises til en behandling, der er ulovlig eller overtræder dette direktiv, omfatter det også behandling, der overtræder de gennemførelsesretsakter, der er vedtaget i henhold til dette direktiv. Registrerede bør have fuld erstatning for den skade, de har lidt. |
| --- | --- |

(88)

Personer, der måtte lide skade som følge af en behandling, der overtræder de bestemmelser, der vedtages i henhold til dette direktiv, bør have ret til erstatning fra den dataansvarlige eller en hvilken som helst anden myndighed, der er kompetent i henhold til medlemsstaternes nationale ret. Begrebet »skade« bør fortolkes bredt i lyset af retspraksis ved Domstolen, således at det fuldt ud afspejler formålene for dette direktiv. Dette berører ikke eventuelle erstatningskrav for skade som følge af overtrædelse af andre bestemmelser i EU-retten eller medlemsstaternes nationale ret. Når der henvises til en behandling, der er ulovlig eller overtræder dette direktiv, omfatter det også behandling, der overtræder de gennemførelsesretsakter, der er vedtaget i henhold til dette direktiv. Registrerede bør have fuld erstatning for den skade, de har lidt.

| (89) | Sanktioner bør kunne pålægges fysiske eller juridiske personer, der overtræder dette direktiv, uanset om de henhører under privat- eller offentligretlig lovgivning. Medlemsstaterne bør sikre, at sanktionerne er effektive, står i et rimeligt forhold til overtrædelsen og har afskrækkende virkning, og bør træffe alle nødvendige foranstaltninger til at gennemføre sanktionerne. |
| --- | --- |

(89)

Sanktioner bør kunne pålægges fysiske eller juridiske personer, der overtræder dette direktiv, uanset om de henhører under privat- eller offentligretlig lovgivning. Medlemsstaterne bør sikre, at sanktionerne er effektive, står i et rimeligt forhold til overtrædelsen og har afskrækkende virkning, og bør træffe alle nødvendige foranstaltninger til at gennemføre sanktionerne.

| (90) | For at sikre ensartede betingelser for gennemførelsen af dette direktiv bør Kommissionen tillægges gennemførelsesbeføjelser, for så vidt angår det tilstrækkelige databeskyttelsesniveau, der skal sikres af et tredjeland, et område eller en specifik sektor i dette tredjeland, eller en international organisation, og formatet og procedurerne for gensidig bistand og ordningerne for elektronisk udveksling af oplysninger mellem tilsynsmyndigheder og mellem tilsynsmyndigheder og Databeskyttelsesrådet. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 (11). |
| --- | --- |

(90)

For at sikre ensartede betingelser for gennemførelsen af dette direktiv bør Kommissionen tillægges gennemførelsesbeføjelser, for så vidt angår det tilstrækkelige databeskyttelsesniveau, der skal sikres af et tredjeland, et område eller en specifik sektor i dette tredjeland, eller en international organisation, og formatet og procedurerne for gensidig bistand og ordningerne for elektronisk udveksling af oplysninger mellem tilsynsmyndigheder og mellem tilsynsmyndigheder og Databeskyttelsesrådet. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 (11).

| (91) | Undersøgelsesproceduren bør anvendes til at vedtage gennemførelsesretsakter om det tilstrækkelige databeskyttelsesniveau, der skal sikres af et tredjeland eller et område eller en specifik sektor i dette tredjeland, eller en international organisation og om formatet og procedurerne for gensidig bistand og ordningerne for elektronisk udveksling af oplysninger mellem tilsynsmyndigheder og mellem tilsynsmyndigheder og Databeskyttelsesrådet, eftersom disse retsakter er af generel karakter. |
| --- | --- |

(91)

Undersøgelsesproceduren bør anvendes til at vedtage gennemførelsesretsakter om det tilstrækkelige databeskyttelsesniveau, der skal sikres af et tredjeland eller et område eller en specifik sektor i dette tredjeland, eller en international organisation og om formatet og procedurerne for gensidig bistand og ordningerne for elektronisk udveksling af oplysninger mellem tilsynsmyndigheder og mellem tilsynsmyndigheder og Databeskyttelsesrådet, eftersom disse retsakter er af generel karakter.

| (92) | Kommissionen bør vedtage gennemførelsesretsakter, der finder anvendelse straks, når det er påkrævet i behørigt begrundede særligt hastende tilfælde vedrørende et tredjeland, et område eller en specifik sektor i dette tredjeland, eller en international organisation, som ikke længere sikrer et tilstrækkeligt beskyttelsesniveau. |
| --- | --- |

(92)

Kommissionen bør vedtage gennemførelsesretsakter, der finder anvendelse straks, når det er påkrævet i behørigt begrundede særligt hastende tilfælde vedrørende et tredjeland, et område eller en specifik sektor i dette tredjeland, eller en international organisation, som ikke længere sikrer et tilstrækkeligt beskyttelsesniveau.

| (93) | Målene for dette direktiv, nemlig at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder, herunder navnlig deres ret til beskyttelse af personoplysninger og fri udveksling af personoplysninger mellem de kompetente myndigheder i Unionen, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af den foreslåede handlings omfang og virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i TEU. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går dette direktiv ikke videre, end hvad der er nødvendigt for at nå disse mål. |
| --- | --- |

(93)

Målene for dette direktiv, nemlig at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder, herunder navnlig deres ret til beskyttelse af personoplysninger og fri udveksling af personoplysninger mellem de kompetente myndigheder i Unionen, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af den foreslåede handlings omfang og virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i TEU. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går dette direktiv ikke videre, end hvad der er nødvendigt for at nå disse mål.

| (94) | Specifikke bestemmelser i EU-retsakter, der er vedtaget inden for området retligt samarbejde i straffesager og politisamarbejde, og som er vedtaget før datoen for vedtagelsen af dette direktiv, og som regulerer behandlingen af personoplysninger mellem medlemsstater og medlemsstaters udpegede myndigheders adgang til informationssystemer, der er udviklet i medfør af traktaterne, bør finde uændret anvendelse, såsom f.eks. de særlige bestemmelser vedrørende beskyttelse af personoplysninger, der finder anvendelse i henhold til Rådets afgørelse 2008/615/RIA (12), eller artikel 23 i konventionen om gensidig retshjælp i straffesager mellem Den Europæiske Unions medlemsstater (13). Eftersom chartrets artikel 8 og artikel 16 i TEUF kræver, at den grundlæggende ret til beskyttelse af personoplysninger bør sikres på en ensartet måde i hele Unionen, bør Kommissionen se nærmere på forholdet mellem direktivet og retsakter, der er vedtaget før vedtagelsen af dette direktiv, og som regulerer behandlingen af personoplysninger mellem medlemsstater eller medlemsstaters udpegede myndigheders adgang til informationssystemer, der er udviklet i medfør af traktaterne, med det formål at vurdere, om der er behov for at tilpasse disse særlige bestemmelser til direktivet. Hvor det er hensigtsmæssigt, bør Kommissionen fremsætte forslag med henblik på at sikre ensartede retsregler vedrørende behandling af personoplysninger. |
| --- | --- |

(94)

Specifikke bestemmelser i EU-retsakter, der er vedtaget inden for området retligt samarbejde i straffesager og politisamarbejde, og som er vedtaget før datoen for vedtagelsen af dette direktiv, og som regulerer behandlingen af personoplysninger mellem medlemsstater og medlemsstaters udpegede myndigheders adgang til informationssystemer, der er udviklet i medfør af traktaterne, bør finde uændret anvendelse, såsom f.eks. de særlige bestemmelser vedrørende beskyttelse af personoplysninger, der finder anvendelse i henhold til Rådets afgørelse 2008/615/RIA (12), eller artikel 23 i konventionen om gensidig retshjælp i straffesager mellem Den Europæiske Unions medlemsstater (13). Eftersom chartrets artikel 8 og artikel 16 i TEUF kræver, at den grundlæggende ret til beskyttelse af personoplysninger bør sikres på en ensartet måde i hele Unionen, bør Kommissionen se nærmere på forholdet mellem direktivet og retsakter, der er vedtaget før vedtagelsen af dette direktiv, og som regulerer behandlingen af personoplysninger mellem medlemsstater eller medlemsstaters udpegede myndigheders adgang til informationssystemer, der er udviklet i medfør af traktaterne, med det formål at vurdere, om der er behov for at tilpasse disse særlige bestemmelser til direktivet. Hvor det er hensigtsmæssigt, bør Kommissionen fremsætte forslag med henblik på at sikre ensartede retsregler vedrørende behandling af personoplysninger.

| (95) | For at sikre en overordnet og sammenhængende beskyttelse af personoplysninger i Unionen bør internationale aftaler, der er indgået af medlemsstaterne inden datoen for dette direktivs ikrafttræden og som overholder relevant EU-ret, der er gældende inden denne dato, forblive i kraft, indtil de bliver ændret, erstattet eller ophævet. |
| --- | --- |

(95)

For at sikre en overordnet og sammenhængende beskyttelse af personoplysninger i Unionen bør internationale aftaler, der er indgået af medlemsstaterne inden datoen for dette direktivs ikrafttræden og som overholder relevant EU-ret, der er gældende inden denne dato, forblive i kraft, indtil de bliver ændret, erstattet eller ophævet.

| (96) | Medlemsstaterne bør have en frist på højst to år fra datoen for dette direktivs ikrafttræden til at gennemføre det. Behandlinger, der allerede er iværksat på denne dato, bør bringes i overensstemmelse med dette direktiv senest to år efter dette direktivs ikrafttræden. Hvis en sådan behandling imidlertid overholder den EU-ret, der er gældende inden datoen for dette direktivs ikrafttræden, bør kravene i dette direktiv om forudgående høring af tilsynsmyndigheden ikke finde anvendelse på de behandlingsaktiviteter, der allerede var iværksat på denne dato, idet disse krav i sagens natur skal opfyldes forud for behandlingen. Hvis medlemsstaterne anvender den længere gennemførelsesperiode, som udløber syv år efter datoen for dette direktivs ikrafttræden, til at opfylde logningsforpligtelserne for automatiske databehandlingssystemer, der er oprettet inden denne dato, bør den dataansvarlige eller databehandleren have indført effektive metoder til at påvise, at databehandlingen er lovlig, til at udøve egenkontrol og til at sikre dataintegriteten og datasikkerheden, såsom logning eller andre former for fortegnelser. |
| --- | --- |

(96)

Medlemsstaterne bør have en frist på højst to år fra datoen for dette direktivs ikrafttræden til at gennemføre det. Behandlinger, der allerede er iværksat på denne dato, bør bringes i overensstemmelse med dette direktiv senest to år efter dette direktivs ikrafttræden. Hvis en sådan behandling imidlertid overholder den EU-ret, der er gældende inden datoen for dette direktivs ikrafttræden, bør kravene i dette direktiv om forudgående høring af tilsynsmyndigheden ikke finde anvendelse på de behandlingsaktiviteter, der allerede var iværksat på denne dato, idet disse krav i sagens natur skal opfyldes forud for behandlingen. Hvis medlemsstaterne anvender den længere gennemførelsesperiode, som udløber syv år efter datoen for dette direktivs ikrafttræden, til at opfylde logningsforpligtelserne for automatiske databehandlingssystemer, der er oprettet inden denne dato, bør den dataansvarlige eller databehandleren have indført effektive metoder til at påvise, at databehandlingen er lovlig, til at udøve egenkontrol og til at sikre dataintegriteten og datasikkerheden, såsom logning eller andre former for fortegnelser.

| (97) | Nærværende direktiv påvirker ikke bestemmelserne om bekæmpelse af seksuelt misbrug og seksuel udnyttelse af børn og børnepornografi i Europa-Parlamentets og Rådets direktiv 2011/93/EU (14). |
| --- | --- |

(97)

Nærværende direktiv påvirker ikke bestemmelserne om bekæmpelse af seksuelt misbrug og seksuel udnyttelse af børn og børnepornografi i Europa-Parlamentets og Rådets direktiv 2011/93/EU (14).

| (98) | Rammeafgørelse 2008/977/RIA bør derfor ophæves. |
| --- | --- |

(98)

Rammeafgørelse 2008/977/RIA bør derfor ophæves.

| (99) | I medfør af artikel 6a i protokol nr. 21 om Det Forenede Kongeriges og Irlands stilling, for så vidt angår området med frihed, sikkerhed og retfærdighed, der er knyttet som bilag til TEU og TEUF, er Det Forenede Kongerige og Irland ikke bundet af regler fastsat i dette direktiv vedrørende medlemsstaternes behandling af personoplysninger under udøvelsen af aktiviteter, der er omfattet af tredje del, afsnit V, kapitel 4 eller 5, i TEUF, når Det Forenede Kongerige og Irland ikke er bundet af regler vedrørende former for strafferetligt samarbejde eller politisamarbejde, der kræver overholdelse af de bestemmelser, der er fastsat på grundlag af artikel 16 i TEUF. |
| --- | --- |

(99)

I medfør af artikel 6a i protokol nr. 21 om Det Forenede Kongeriges og Irlands stilling, for så vidt angår området med frihed, sikkerhed og retfærdighed, der er knyttet som bilag til TEU og TEUF, er Det Forenede Kongerige og Irland ikke bundet af regler fastsat i dette direktiv vedrørende medlemsstaternes behandling af personoplysninger under udøvelsen af aktiviteter, der er omfattet af tredje del, afsnit V, kapitel 4 eller 5, i TEUF, når Det Forenede Kongerige og Irland ikke er bundet af regler vedrørende former for strafferetligt samarbejde eller politisamarbejde, der kræver overholdelse af de bestemmelser, der er fastsat på grundlag af artikel 16 i TEUF.

| (100) | I medfør af artikel 2 og 2a i protokol nr. 22 om Danmarks stilling, der er knyttet som bilag til TEU og TEUF, er de regler, der er fastsat i dette direktiv, vedrørende medlemsstaternes behandling af personoplysninger under udøvelsen af aktiviteter, der er omfattet af tredje del, afsnit V, kapitel 4 eller 5, i TEUF, ikke bindende for og finder ikke anvendelse i Danmark. Da dette direktiv udbygger Schengenreglerne efter bestemmelserne i tredje del, afsnit V, i TEUF, skal Danmark i henhold til artikel 4 i nævnte protokol inden seks måneder efter direktivets vedtagelse træffe afgørelse om, hvorvidt det vil gennemføre direktivet i sin nationale lovgivning. |
| --- | --- |

(100)

I medfør af artikel 2 og 2a i protokol nr. 22 om Danmarks stilling, der er knyttet som bilag til TEU og TEUF, er de regler, der er fastsat i dette direktiv, vedrørende medlemsstaternes behandling af personoplysninger under udøvelsen af aktiviteter, der er omfattet af tredje del, afsnit V, kapitel 4 eller 5, i TEUF, ikke bindende for og finder ikke anvendelse i Danmark. Da dette direktiv udbygger Schengenreglerne efter bestemmelserne i tredje del, afsnit V, i TEUF, skal Danmark i henhold til artikel 4 i nævnte protokol inden seks måneder efter direktivets vedtagelse træffe afgørelse om, hvorvidt det vil gennemføre direktivet i sin nationale lovgivning.

| (101) | For så vidt angår Island og Norge, udgør dette direktiv en udvikling af bestemmelser i Schengenreglerne, jf. aftalen indgået mellem Rådet for Den Europæiske Union og Republikken Island og Kongeriget Norge om disse to staters associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (15). |
| --- | --- |

(101)

For så vidt angår Island og Norge, udgør dette direktiv en udvikling af bestemmelser i Schengenreglerne, jf. aftalen indgået mellem Rådet for Den Europæiske Union og Republikken Island og Kongeriget Norge om disse to staters associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (15).

| (102) | For så vidt angår Schweiz, udgør dette direktiv en udvikling af bestemmelser i Schengenreglerne, jf. aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (16). |
| --- | --- |

(102)

For så vidt angår Schweiz, udgør dette direktiv en udvikling af bestemmelser i Schengenreglerne, jf. aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om Det Schweiziske Forbunds associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (16).

| (103) | For så vidt angår Liechtenstein, udgør dette direktiv en udvikling af bestemmelser i Schengenreglerne, jf. protokollen mellem Den Europæiske Union, Det Europæiske Fællesskab, Det Schweiziske Forbund og Fyrstendømmet Liechtenstein om Fyrstendømmet Liechtensteins tiltrædelse af aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om dette lands associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (17). |
| --- | --- |

(103)

For så vidt angår Liechtenstein, udgør dette direktiv en udvikling af bestemmelser i Schengenreglerne, jf. protokollen mellem Den Europæiske Union, Det Europæiske Fællesskab, Det Schweiziske Forbund og Fyrstendømmet Liechtenstein om Fyrstendømmet Liechtensteins tiltrædelse af aftalen mellem Den Europæiske Union, Det Europæiske Fællesskab og Det Schweiziske Forbund om dette lands associering i gennemførelsen, anvendelsen og udviklingen af Schengenreglerne (17).

| (104) | I dette direktiv overholdes de grundlæggende rettigheder og principper, der anerkendes i chartret som forankret i TEUF, navnlig retten til respekt for privatliv og familieliv, retten til beskyttelse af personoplysninger og adgang til effektive retsmidler og til en retfærdig rettergang. I overensstemmelse med chartrets artikel 52, stk. 1, kan der indføres begrænsninger i udøvelsen af disse rettigheder, såfremt de er nødvendige for at nå mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og frihedsrettigheder. |
| --- | --- |

(104)

I dette direktiv overholdes de grundlæggende rettigheder og principper, der anerkendes i chartret som forankret i TEUF, navnlig retten til respekt for privatliv og familieliv, retten til beskyttelse af personoplysninger og adgang til effektive retsmidler og til en retfærdig rettergang. I overensstemmelse med chartrets artikel 52, stk. 1, kan der indføres begrænsninger i udøvelsen af disse rettigheder, såfremt de er nødvendige for at nå mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og frihedsrettigheder.

| (105) | I henhold til den fælles politiske erklæring af 28. september 2011 fra medlemsstaterne og Kommissionen om forklarende dokumenter har medlemsstaterne forpligtet sig til i tilfælde, hvor det er berettiget, at lade meddelelsen af gennemførelsesforanstaltninger ledsage af et eller flere dokumenter, der forklarer forholdet mellem et direktivs bestanddele og de tilsvarende dele i de nationale gennemførelsesforanstaltninger. Lovgiver finder fremsendelse af sådanne dokumenter velbegrundet i forbindelse med dette direktiv. |
| --- | --- |

(105)

I henhold til den fælles politiske erklæring af 28. september 2011 fra medlemsstaterne og Kommissionen om forklarende dokumenter har medlemsstaterne forpligtet sig til i tilfælde, hvor det er berettiget, at lade meddelelsen af gennemførelsesforanstaltninger ledsage af et eller flere dokumenter, der forklarer forholdet mellem et direktivs bestanddele og de tilsvarende dele i de nationale gennemførelsesforanstaltninger. Lovgiver finder fremsendelse af sådanne dokumenter velbegrundet i forbindelse med dette direktiv.

| (106) | Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 28, stk. 2, i forordning (EF) nr. 45/2001 og afgav en udtalelse den 7. marts 2012 (18). |
| --- | --- |

(106)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 28, stk. 2, i forordning (EF) nr. 45/2001 og afgav en udtalelse den 7. marts 2012 (18).

| (107) | Dette direktiv bør ikke forhindre medlemsstaterne i at gennemføre bestemmelserne om udøvelsen af registreredes ret til oplysninger, retten til indsigt i og berigtigelse, sletning og begrænsning af behandling under en straffesag, samt mulige begrænsninger heraf i deres nationale regler om strafferetspleje — |
| --- | --- |

(107)

Dette direktiv bør ikke forhindre medlemsstaterne i at gennemføre bestemmelserne om udøvelsen af registreredes ret til oplysninger, retten til indsigt i og berigtigelse, sletning og begrænsning af behandling under en straffesag, samt mulige begrænsninger heraf i deres nationale regler om strafferetspleje —

VEDTAGET DETTE DIREKTIV:

KAPITEL I

Generelle bestemmelser

Artikel 1

Genstand og formål

1.   I dette direktiv fastsættes regler om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod eller forebygge trusler mod den offentlige sikkerhed.

2.   Medlemsstaterne sikrer i overensstemmelse med dette direktiv:

| a) | at fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger, beskyttes, og |
| --- | --- |

a)

at fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger, beskyttes, og

| b) | at udvekslingen af personoplysninger mellem kompetente myndigheder i Unionen, hvor en sådan udveksling kræves i henhold til EU-retten eller medlemsstaternes nationale ret, hverken indskrænkes eller forbydes af grunde, der vedrører beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger. |
| --- | --- |

b)

at udvekslingen af personoplysninger mellem kompetente myndigheder i Unionen, hvor en sådan udveksling kræves i henhold til EU-retten eller medlemsstaternes nationale ret, hverken indskrænkes eller forbydes af grunde, der vedrører beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger.

3.   Dette direktiv forhindrer ikke medlemsstaterne i at fastsætte højere standarder end dem, der er fastsat i dette direktiv, for beskyttelse af den registreredes rettigheder og frihedsrettigheder med hensyn til kompetente myndigheders behandling af personoplysninger.

Artikel 2

Anvendelsesområde

1.   Dette direktiv finder anvendelse på kompetente myndigheders behandling af personoplysninger med henblik på artikel 1, stk. 1.

2.   Dette direktiv finder anvendelse på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikkeautomatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.

3.   Dette direktiv gælder ikke for behandling af personoplysninger:

| a) | under udøvelse af aktiviteter, der falder uden for EU-retten |
| --- | --- |

a)

under udøvelse af aktiviteter, der falder uden for EU-retten

| b) | af EU-institutioner, -organer, -kontorer og -agenturer. |
| --- | --- |

b)

af EU-institutioner, -organer, -kontorer og -agenturer.

Artikel 3

Definitioner

I dette direktiv forstås ved:

1)   »personoplysninger«: enhver form for information om en identificeret eller identificerbar fysisk person (»den registrerede«); ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en online-identifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet

»personoplysninger«

2)   »behandling«: enhver aktivitet eller række af aktiviteter — med eller uden brug af automatisk behandling — som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse

»behandling«

3)   »begrænsning af behandling«: mærkning af opbevarede personoplysninger med den hensigt at begrænse fremtidig behandling af disse oplysninger

»begrænsning af behandling«

4)   »profilering«: enhver form for automatisk behandling af personoplysninger, der består i at anvende personoplysninger til at evaluere bestemte personlige forhold vedrørende en fysisk person, navnlig for at analysere eller forudsige forhold vedrørende den fysiske persons arbejdsindsats, økonomiske situation, helbred, personlige præferencer, interesser, pålidelighed, adfærd, geografisk position eller bevægelser

»profilering«

5)   »pseudonymisering«: behandling af personoplysninger på en sådan måde, at personoplysningerne ikke længere kan henføres til en bestemt registreret uden brug af supplerende oplysninger, forudsat at sådanne supplerende oplysninger opbevares separat og er underlagt tekniske og organisatoriske foranstaltninger for at sikre, at personoplysningerne ikke henføres til en identificeret eller identificerbar fysisk person

»pseudonymisering«

6)   »register«: enhver struktureret samling af personoplysninger, der er tilgængelig efter bestemte kriterier, hvad enten denne samling er placeret centralt, decentralt eller er fordelt på funktionsbestemt eller geografisk grundlag

»register«

7)   »kompetent myndighed«:

»kompetent myndighed«

| a) | enhver offentlig myndighed, der er kompetent med hensyn til at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, eller |
| --- | --- |

a)

enhver offentlig myndighed, der er kompetent med hensyn til at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, eller

| b) | ethvert andet organ eller enhver anden enhed, som i henhold til medlemsstaternes nationale ret udøver offentlig myndighed og offentlige beføjelser med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed |
| --- | --- |

b)

ethvert andet organ eller enhver anden enhed, som i henhold til medlemsstaternes nationale ret udøver offentlig myndighed og offentlige beføjelser med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed

8)   »dataansvarlig«: den kompetente myndighed, der alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger; hvis formålene og hjælpemidlerne til en sådan behandling er fastlagt i EU-retten eller medlemsstaternes nationale ret, kan den dataansvarlige eller de specifikke kriterier for udpegelse af denne fastsættes i EU-retten eller medlemsstaternes nationale ret

»dataansvarlig«

9)   »databehandler«: en fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, der behandler personoplysninger på den dataansvarliges vegne

»databehandler«

10)   »modtager«: en fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, hvortil personoplysninger videregives, uanset om det er en tredjemand eller ej. Offentlige myndigheder, som vil kunne få meddelt personoplysninger som led i en isoleret forespørgsel i henhold til medlemsstaternes nationale ret, anses dog ikke for modtagere; de offentlige myndigheders behandling af disse oplysninger skal overholde de gældende databeskyttelsesregler afhængigt af formålet med behandlingen

»modtager«

11)   »brud på persondatasikkerheden«: et brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet

»brud på persondatasikkerheden«

12)   »genetiske data«: personoplysninger vedrørende en fysisk persons arvede eller erhvervede genetiske karakteristika, som giver entydig information om den fysiske persons fysiologi eller helbred, og som navnlig foreligger efter en analyse af en biologisk prøve fra den pågældende fysiske person

»genetiske data«

13)   »biometriske data«: personoplysninger, der som følge af specifik teknisk behandling vedrørende en fysisk persons fysiske, fysiologiske eller adfærdsmæssige karakteristika muliggør eller bekræfter en entydig identifikation af vedkommende, f.eks. ansigtsbillede eller fingeraftryksoplysninger

»biometriske data«

14)   »helbredsoplysninger«: personoplysninger, der vedrører en fysisk persons fysiske eller mentale helbred, herunder levering af sundhedsydelser, og som giver information om vedkommendes helbredstilstand

»helbredsoplysninger«

15)   »tilsynsmyndighed«: en uafhængig offentlig myndighed, der er etableret i en medlemsstat i henhold til artikel 41

»tilsynsmyndighed«

16)   »international organisation«: en folkeretlig organisation og organer, der er underordnet den, samt ethvert andet organ, der er oprettet ved eller med hjemmel i en aftale mellem to eller flere lande.

»international organisation«

KAPITEL II

Principper

Artikel 4

Principper for behandling af personoplysninger

1.   Medlemsstaterne fastsætter bestemmelser om, at personoplysninger skal:

| a) | behandles lovligt og rimeligt |
| --- | --- |

a)

behandles lovligt og rimeligt

| b) | indsamles til udtrykkeligt angivne og legitime formål og ikke behandles på en måde, der er uforenelig med disse formål |
| --- | --- |

b)

indsamles til udtrykkeligt angivne og legitime formål og ikke behandles på en måde, der er uforenelig med disse formål

| c) | være tilstrækkelige, relevante og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de behandles |
| --- | --- |

c)

være tilstrækkelige, relevante og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de behandles

| d) | være korrekte og om nødvendigt ajourførte; der skal tages ethvert rimeligt skridt for at sikre, at personoplysninger, der er urigtige i forhold til de formål, hvortil de behandles, straks slettes eller berigtiges |
| --- | --- |

d)

være korrekte og om nødvendigt ajourførte; der skal tages ethvert rimeligt skridt for at sikre, at personoplysninger, der er urigtige i forhold til de formål, hvortil de behandles, straks slettes eller berigtiges

| e) | opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de behandles |
| --- | --- |

e)

opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de behandles

| f) | behandles på en måde, der sikrer en tilstrækkelig sikkerhed for de pågældende personoplysninger, herunder beskyttelse mod uautoriseret eller ulovlig behandling og mod hændeligt tab, tilintetgørelse eller beskadigelse, under anvendelse af passende tekniske eller organisatoriske foranstaltninger. |
| --- | --- |

f)

behandles på en måde, der sikrer en tilstrækkelig sikkerhed for de pågældende personoplysninger, herunder beskyttelse mod uautoriseret eller ulovlig behandling og mod hændeligt tab, tilintetgørelse eller beskadigelse, under anvendelse af passende tekniske eller organisatoriske foranstaltninger.

2.   Behandling, der foretages af den samme eller en anden dataansvarlig til et andet formål omfattet af artikel 1, stk. 1, end det, hvortil personoplysningerne er indsamlet, er tilladt i det omfang:

| a) | den dataansvarlige er bemyndiget til at behandle sådanne personoplysninger til et sådant formål i overensstemmelse med EU-retten eller medlemsstaternes nationale ret, og |
| --- | --- |

a)

den dataansvarlige er bemyndiget til at behandle sådanne personoplysninger til et sådant formål i overensstemmelse med EU-retten eller medlemsstaternes nationale ret, og

| b) | behandlingen er nødvendig for og forholdsmæssig i forhold til dette andet formål i overensstemmelse med EU-retten eller medlemsstaternes nationale ret. |
| --- | --- |

b)

behandlingen er nødvendig for og forholdsmæssig i forhold til dette andet formål i overensstemmelse med EU-retten eller medlemsstaternes nationale ret.

3.   Behandling, der foretages af den samme eller en anden dataansvarlig, kan omfatte behandling til arkivformål i samfundets interesse eller til videnskabelig, statistisk eller historisk brug med henblik på artikel 1, stk. 1, forudsat at behandlingen er omfattet af de fornødne garantier for den registreredes rettigheder og frihedsrettigheder.

4.   Den dataansvarlige er ansvarlig for og skal kunne påvise, at stk. 1, 2 og 3 overholdes.

Artikel 5

Tidsfrister for opbevaring og revision

Medlemsstaterne fastsætter bestemmelser om, at der skal fastsættes hensigtsmæssige tidsfrister for sletning af personoplysninger eller for regelmæssig revision af behovet for opbevaring af personoplysninger. Det sikres ved proceduremæssige foranstaltninger, at disse tidsfrister overholdes.

Artikel 6

Sondring mellem forskellige kategorier af registrerede

Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige, hvor det er relevant og så vidt muligt, klart sondrer mellem personoplysninger om forskellige kategorier af registrerede såsom:

| a) | personer, om hvem der er væsentlig grund til at tro, at de har begået eller vil begå en strafbar handling |
| --- | --- |

a)

personer, om hvem der er væsentlig grund til at tro, at de har begået eller vil begå en strafbar handling

| b) | personer, der er dømt for en strafbar handling |
| --- | --- |

b)

personer, der er dømt for en strafbar handling

| c) | ofre for en strafbar handling eller personer, om hvem visse faktiske omstændigheder giver anledning til at tro, at de kunne blive offer for en strafbar handling, og |
| --- | --- |

c)

ofre for en strafbar handling eller personer, om hvem visse faktiske omstændigheder giver anledning til at tro, at de kunne blive offer for en strafbar handling, og

| d) | andre parter i forbindelse med en strafbar handling, såsom personer, der kan blive indkaldt som vidner i efterforskninger i forbindelse med strafbare handlinger eller i efterfølgende straffesager, personer, der kan tilvejebringe oplysninger om strafbare handlinger, eller kontakt- eller ledsagepersoner for en af de i litra a) og b) omhandlede personer. |
| --- | --- |

d)

andre parter i forbindelse med en strafbar handling, såsom personer, der kan blive indkaldt som vidner i efterforskninger i forbindelse med strafbare handlinger eller i efterfølgende straffesager, personer, der kan tilvejebringe oplysninger om strafbare handlinger, eller kontakt- eller ledsagepersoner for en af de i litra a) og b) omhandlede personer.

Artikel 7

Sondring mellem personoplysninger og kontrol med kvaliteten af personoplysninger

1.   Medlemsstaterne fastsætter bestemmelser om, at der så vidt muligt skal sondres mellem personoplysninger, der bygger på faktiske omstændigheder, og personoplysninger, der bygger på personlige vurderinger.

2.   Medlemsstaterne fastsætter bestemmelser om, at de kompetente myndigheder iværksætter alle rimelige tiltag for at sikre, at personoplysninger, som er urigtige, ufuldstændige eller ikke ajourførte, ikke videregives eller stilles til rådighed. Med henblik herpå kontrollerer hver kompetent myndighed, så vidt det er praktisk muligt, kvaliteten af personoplysninger, før disse videregives eller stilles til rådighed. I forbindelse med al videregivelse af personoplysninger skal nødvendige oplysninger, der gør det muligt for den modtagende kompetente myndighed at vurdere, i hvor høj grad personoplysningerne er rigtige, fuldstændige og pålidelige, og i hvilket omfang de er ajourførte, så vidt muligt tilføjes.

3.   Hvis det konstateres, at der er videregivet urigtige personoplysninger, eller at personoplysninger er videregivet ulovligt, skal dette straks meddeles modtageren. I så fald skal personoplysningerne berigtiges eller slettes, eller behandling skal begrænses i overensstemmelse med artikel 16.

Artikel 8

Lovlig behandling

1.   Medlemsstaterne fastsætter bestemmelser om, at behandling kun er lovlig, hvis og i det omfang denne behandling er nødvendig, for at en kompetent myndighed kan udføre en opgave med henblik på artikel 1, stk. 1, og at den sker på grundlag af EU-retten eller medlemsstaternes nationale ret.

2.   Medlemsstaternes nationale ret, der regulerer behandling inden for dette direktivs anvendelsesområde, skal som minimum angive målene med behandling, de personoplysninger, der skal behandles, og formålene med behandlingen.

Artikel 9

Særlige betingelser for behandling

1.   Personoplysninger indsamlet af kompetente myndigheder med henblik på artikel 1, stk. 1, må ikke behandles til andre formål end med henblik på artikel 1, stk. 1, medmindre en sådan behandling er hjemlet i EU-retten eller medlemsstaternes nationale ret. Hvis personoplysninger behandles til disse andre formål, finder forordning (EU) 2016/679 anvendelse, medmindre behandlingen udføres i forbindelse med en aktivitet, der falder uden for EU-rettens anvendelsesområde.

2.   Hvis kompetente myndigheder i henhold til medlemsstaternes nationale ret har fået overdraget andre opgaver end dem, der udføres med henblik på artikel 1, stk. 1, finder forordning (EU) 2016/679 anvendelse på behandling til disse formål, herunder til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål, medmindre behandlingen udføres i forbindelse med en aktivitet, der falder uden for EU-rettens anvendelsesområde.

3.   Medlemsstaterne fastsætter bestemmelser om, at den videregivende kompetente myndighed, hvis EU-retten eller medlemsstaternes nationale ret, der finder anvendelse på den videregivende kompetente myndighed, fastsætter særlige vilkår for behandling, underretter modtageren af sådanne personoplysninger om disse vilkår og kravet om at overholde dem.

4.   Medlemsstaterne fastsætter bestemmelser om, at den videregivende kompetente myndighed ikke anvender andre vilkår, jf. stk. 3, på modtagere i andre medlemsstater eller på agenturer, kontorer og organer, der er oprettet i henhold til afsnit V, kapitel 4 og 5, i TEUF, end de vilkår, der gælder for lignende videregivelser af oplysninger inden for den medlemsstat, hvor den videregivende kompetente myndighed er beliggende.

Artikel 10

Behandling af særlige kategorier af personoplysninger

Behandling af personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering må kun tillades, når det er strengt nødvendigt, forudsat at behandlingen er omfattet af de fornødne garantier for den registreredes rettigheder og frihedsrettigheder, og kun:

| a) | hvis hjemlet i EU-retten eller medlemsstaternes nationale ret |
| --- | --- |

a)

hvis hjemlet i EU-retten eller medlemsstaternes nationale ret

| b) | for at beskytte den registreredes eller en anden fysisk persons vitale interesser, eller |
| --- | --- |

b)

for at beskytte den registreredes eller en anden fysisk persons vitale interesser, eller

| c) | hvis denne behandling vedrører oplysninger, som tydeligvis er offentliggjort af den registrerede. |
| --- | --- |

c)

hvis denne behandling vedrører oplysninger, som tydeligvis er offentliggjort af den registrerede.

Artikel 11

Automatiske individuelle afgørelser

1.   Medlemsstaterne fastsætter bestemmelser om, at en afgørelse, der alene er baseret på automatisk behandling, herunder profilering, som har negativ retsvirkning for den registrerede eller betydeligt påvirker den pågældende, er forbudt, medmindre den er hjemlet i EU-retten eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt, og som fastsætter de fornødne garantier for den registreredes rettigheder og frihedsrettigheder, i det mindste den registreredes ret til menneskelig indgriben fra den dataansvarliges side.

2.   De afgørelser, der er omhandlet i nærværende artikels stk. 1, må ikke baseres på særlige kategorier af personoplysninger, jf. artikel 10, medmindre der er indført passende foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder samt legitime interesser.

3.   Profilering, der fører til forskelsbehandling af fysiske personer på grundlag af særlige kategorier af personoplysninger, jf. artikel 10, er forbudt i henhold til EU-retten.

KAPITEL III

Den registreredes rettigheder

Artikel 12

Meddelelser og nærmere regler for udøvelse af den registreredes rettigheder

1.   Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige skal iværksætte rimelige tiltag for at give enhver oplysning som omhandlet i artikel 13 og enhver meddelelse som omhandlet i artikel 11, 14-18 og 31 om behandling til den registrerede i en kortfattet, letforståelig og lettilgængelig form og i et klart og enkelt sprog. Oplysningerne gives på enhver hensigtsmæssig måde, herunder ved hjælp af elektroniske midler. Som hovedregel skal den dataansvarlige give oplysningerne i samme form som anmodningen.

2.   Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige skal lette udøvelsen af den registreredes rettigheder i medfør af artikel 11 og 14-18.

3.   Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige skal give den registrerede skriftlig meddelelse om opfølgningen på dennes anmodning uden unødig forsinkelse.

4.   Medlemsstaterne fastsætter bestemmelser om, at de oplysninger, der gives i medfør af artikel 13, og enhver meddelelse og enhver foranstaltning, der træffes i henhold til artikel 11, 14-18 og 31, er gratis. Hvis anmodninger fra en registreret er åbenbart grundløse eller overdrevne, især fordi de gentages, kan den dataansvarlige enten:

| a) | opkræve et rimeligt gebyr under hensyntagen til de administrative omkostninger ved at give oplysninger eller meddelelser eller træffe den ønskede foranstaltning, eller |
| --- | --- |

a)

opkræve et rimeligt gebyr under hensyntagen til de administrative omkostninger ved at give oplysninger eller meddelelser eller træffe den ønskede foranstaltning, eller

| b) | afvise at efterkomme anmodningen. |
| --- | --- |

b)

afvise at efterkomme anmodningen.

Bevisbyrden for, at anmodningen er åbenbart grundløs eller overdreven, påhviler den dataansvarlige.

5.   Den dataansvarlige kan, hvis der hersker rimelig tvivl om identiteten af den fysiske person, der fremsætter en anmodning som omhandlet i artikel 14 eller 16, anmode om de yderligere oplysninger, der er nødvendige for at bekræfte den registreredes identitet.

Artikel 13

Oplysninger, der skal stilles til rådighed for eller gives til den registrerede

1.   Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige som minimum stiller følgende oplysninger til rådighed for den registrerede:

| a) | identitet på og kontaktoplysninger for den dataansvarlige |
| --- | --- |

a)

identitet på og kontaktoplysninger for den dataansvarlige

| b) | kontaktoplysninger for en eventuel databeskyttelsesrådgiver |
| --- | --- |

b)

kontaktoplysninger for en eventuel databeskyttelsesrådgiver

| c) | formålene med den behandling, som personoplysningerne skal bruges til |
| --- | --- |

c)

formålene med den behandling, som personoplysningerne skal bruges til

| d) | retten til at indgive en klage til en tilsynsmyndighed og kontaktoplysningerne for tilsynsmyndigheden |
| --- | --- |

d)

retten til at indgive en klage til en tilsynsmyndighed og kontaktoplysningerne for tilsynsmyndigheden

| e) | retten til at anmode den dataansvarlige om indsigt i og berigtigelse eller sletning af personoplysninger og begrænsning af behandling af personoplysningerne vedrørende den registrerede. |
| --- | --- |

e)

retten til at anmode den dataansvarlige om indsigt i og berigtigelse eller sletning af personoplysninger og begrænsning af behandling af personoplysningerne vedrørende den registrerede.

2.   Ud over de oplysninger, der er omhandlet i stk. 1, fastsætter medlemsstaterne ved lov bestemmelser om, at den dataansvarlige i særlige tilfælde skal give den registrerede følgende yderligere oplysninger, for at vedkommende kan udøve sine rettigheder:

| a) | retsgrundlaget for behandlingen |
| --- | --- |

a)

retsgrundlaget for behandlingen

| b) | det tidsrum, hvor personoplysningerne vil blive opbevaret, eller, hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum |
| --- | --- |

b)

det tidsrum, hvor personoplysningerne vil blive opbevaret, eller, hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum

| c) | hvor det er relevant, kategorierne af modtagere af personoplysningerne, herunder i tredjelande eller internationale organisationer |
| --- | --- |

c)

hvor det er relevant, kategorierne af modtagere af personoplysningerne, herunder i tredjelande eller internationale organisationer

| d) | hvis det er nødvendigt, yderligere oplysninger, navnlig hvis personoplysningerne indsamles uden den registreredes vidende. |
| --- | --- |

d)

hvis det er nødvendigt, yderligere oplysninger, navnlig hvis personoplysningerne indsamles uden den registreredes vidende.

3.   Medlemsstaterne kan vedtage lovgivningsmæssige foranstaltninger, der udsætter, begrænser eller afskærer meddelelse af oplysninger til de registrerede, jf. stk. 2, i det omfang og så længe en sådan foranstaltning udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under behørigt hensyn til den berørte fysiske persons grundlæggende rettigheder og legitime interesser for at:

| a) | undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer |
| --- | --- |

a)

undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer

| b) | undgå at skade forebyggelsen, afsløringen, efterforskningen eller retsforfølgningen af strafbare handlinger eller fuldbyrdelsen af strafferetlige sanktioner |
| --- | --- |

b)

undgå at skade forebyggelsen, afsløringen, efterforskningen eller retsforfølgningen af strafbare handlinger eller fuldbyrdelsen af strafferetlige sanktioner

| c) | beskytte den offentlige sikkerhed |
| --- | --- |

c)

beskytte den offentlige sikkerhed

| d) | beskytte statens sikkerhed |
| --- | --- |

d)

beskytte statens sikkerhed

| e) | beskytte andres rettigheder og frihedsrettigheder. |
| --- | --- |

e)

beskytte andres rettigheder og frihedsrettigheder.

4.   Medlemsstaterne kan vedtage lovgivningsmæssige foranstaltninger for at fastsætte de kategorier af behandling, som helt eller delvis er omfattet af ethvert af de litraer, der er anført i stk. 3.

Artikel 14

Den registreredes indsigtsret

Medlemsstaterne fastsætter bestemmelser om, at den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og følgende information, jf. dog artikel 15:

| a) | formålene med og retsgrundlaget for behandlingen |
| --- | --- |

a)

formålene med og retsgrundlaget for behandlingen

| b) | de berørte kategorier af personoplysninger |
| --- | --- |

b)

de berørte kategorier af personoplysninger

| c) | de modtagere eller kategorier af modtagere, som personoplysningerne er videregivet til, navnlig modtagere i tredjelande eller internationale organisationer |
| --- | --- |

c)

de modtagere eller kategorier af modtagere, som personoplysningerne er videregivet til, navnlig modtagere i tredjelande eller internationale organisationer

| d) | om muligt, det påtænkte tidsrum, hvor personoplysningerne vil blive opbevaret, eller, hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum |
| --- | --- |

d)

om muligt, det påtænkte tidsrum, hvor personoplysningerne vil blive opbevaret, eller, hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum

| e) | retten til at anmode den dataansvarlige om berigtigelse eller sletning af personoplysninger eller begrænsning af behandling vedrørende den registrerede |
| --- | --- |

e)

retten til at anmode den dataansvarlige om berigtigelse eller sletning af personoplysninger eller begrænsning af behandling vedrørende den registrerede

| f) | retten til at indgive en klage til tilsynsmyndigheden og kontaktoplysningerne for tilsynsmyndigheden |
| --- | --- |

f)

retten til at indgive en klage til tilsynsmyndigheden og kontaktoplysningerne for tilsynsmyndigheden

| g) | meddelelse af hvilke personoplysninger, der er omfattet af behandlingen, og enhver tilgængelig oplysning om, hvorfra de stammer. |
| --- | --- |

g)

meddelelse af hvilke personoplysninger, der er omfattet af behandlingen, og enhver tilgængelig oplysning om, hvorfra de stammer.

Artikel 15

Begrænsninger af indsigtsretten

1.   Medlemsstaterne kan vedtage lovgivningsmæssige foranstaltninger, der helt eller delvis begrænser den registreredes ret til indsigt, i det omfang og så længe en sådan delvis eller fuldstændig begrænsning udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under behørigt hensyn til den berørte fysiske persons grundlæggende rettigheder og legitime interesser for at:

| a) | undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer |
| --- | --- |

a)

undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer

| b) | undgå at skade forebyggelsen, afsløringen, efterforskningen eller retsforfølgningen af strafbare handlinger eller fuldbyrdelsen af strafferetlige sanktioner |
| --- | --- |

b)

undgå at skade forebyggelsen, afsløringen, efterforskningen eller retsforfølgningen af strafbare handlinger eller fuldbyrdelsen af strafferetlige sanktioner

| c) | beskytte den offentlige sikkerhed |
| --- | --- |

c)

beskytte den offentlige sikkerhed

| d) | beskytte statens sikkerhed |
| --- | --- |

d)

beskytte statens sikkerhed

| e) | beskytte andres rettigheder og frihedsrettigheder. |
| --- | --- |

e)

beskytte andres rettigheder og frihedsrettigheder.

2.   Medlemsstaterne kan vedtage lovgivningsmæssige foranstaltninger for at fastsætte de kategorier af behandling, som helt eller delvis er omfattet af stk. 1, litra a)-e).

3.   I de i stk. 1 og 2 omhandlede tilfælde fastsætter medlemsstaterne bestemmelser om, at den dataansvarlige uden unødig forsinkelse skal give den registrerede skriftlig meddelelse om ethvert afslag på indsigt i personoplysninger eller begrænsning af indsigten og om begrundelsen for afslaget eller begrænsningen. En sådan meddelelse kan udelades, hvis sådanne oplysninger ville være til skade for et af formålene i stk. 1. Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige skal underrette den registrerede om muligheden for at indgive en klage til en tilsynsmyndighed eller adgangen til retsmidler.

4.   Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige skal dokumentere den faktiske eller retlige begrundelse, som afgørelsen hviler på. Disse oplysninger stilles til rådighed for tilsynsmyndighederne.

Artikel 16

Ret til berigtigelse, sletning og begrænsning af behandling

1.   Medlemsstaterne fastsætter bestemmelser om, at den registrerede har ret til at få urigtige personoplysninger om sig selv berigtiget af den dataansvarlige uden unødig forsinkelse. Medlemsstaterne fastsætter bestemmelser om, at den registrerede under hensyntagen til formålene med behandlingen skal have ret til at få fuldstændiggjort ufuldstændige personoplysninger, bl.a. ved at fremlægge en supplerende erklæring.

2.   Medlemsstaterne kræver, at den dataansvarlige sletter personoplysninger uden unødig forsinkelse, og fastsætter bestemmelser om, at den registrerede skal have ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, hvis behandling overtræder de bestemmelser, der vedtages i henhold til artikel 4, 8 eller 10, eller hvis personoplysninger skal slettes for at overholde en retlig forpligtelse, som den dataansvarlige er underlagt.

3.   I stedet for sletning begrænser den dataansvarlige behandling, hvis:

| a) | rigtigheden af personoplysningerne bestrides af den registrerede og deres rigtighed eller urigtighed ikke kan konstateres, eller |
| --- | --- |

a)

rigtigheden af personoplysningerne bestrides af den registrerede og deres rigtighed eller urigtighed ikke kan konstateres, eller

| b) | personoplysningerne skal bevares som bevismiddel. |
| --- | --- |

b)

personoplysningerne skal bevares som bevismiddel.

Hvis behandling er begrænset i henhold til første afsnit, litra a), underretter den dataansvarlige den registrerede herom, inden begrænsningen af behandling ophæves.

4.   Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige skal give den registrerede skriftlig meddelelse om ethvert afslag på berigtigelse eller sletning af personoplysninger eller begrænsning af behandling og om begrundelsen for afslaget. Medlemsstaterne kan vedtage lovgivningsmæssige foranstaltninger, der helt eller delvis begrænser forpligtelsen til at give sådanne oplysninger, i det omfang en sådan begrænsning udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under behørigt hensyn til den berørte fysiske persons grundlæggende rettigheder og legitime interesser for at:

| a) | undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer |
| --- | --- |

a)

undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer

| b) | undgå at skade forebyggelsen, afsløringen, efterforskningen eller retsforfølgningen af strafbare handlinger eller fuldbyrdelsen af strafferetlige sanktioner |
| --- | --- |

b)

undgå at skade forebyggelsen, afsløringen, efterforskningen eller retsforfølgningen af strafbare handlinger eller fuldbyrdelsen af strafferetlige sanktioner

| c) | beskytte den offentlige sikkerhed |
| --- | --- |

c)

beskytte den offentlige sikkerhed

| d) | beskytte statens sikkerhed |
| --- | --- |

d)

beskytte statens sikkerhed

| e) | beskytte andres rettigheder og frihedsrettigheder. |
| --- | --- |

e)

beskytte andres rettigheder og frihedsrettigheder.

Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige skal underrette den registrerede om muligheden for at indgive klage til en tilsynsmyndighed eller adgangen til retsmidler.

5.   Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige skal meddele berigtigelse af urigtige personoplysninger til den kompetente myndighed, hvorfra de urigtige oplysninger stammer.

6.   Medlemsstaterne fastsætter, hvis personoplysningerne er blevet berigtiget eller slettet eller behandlingen er blevet begrænset, jf. stk. 1, 2 og 3, bestemmelser om, at den dataansvarlige skal underrette modtagerne, og at modtagerne berigtiger eller sletter personoplysningerne eller begrænser behandling af personoplysninger, som de har ansvaret for.

Artikel 17

Den registreredes udøvelse af rettigheder og tilsynsmyndighedens kontrol

1.   I de tilfælde, der er omhandlet i artikel 13, stk. 3, artikel 15, stk. 3, og artikel 16, stk. 4, vedtager medlemsstaterne foranstaltninger, der fastsætter, at den registreredes rettigheder også kan udøves gennem den kompetente tilsynsmyndighed.

2.   Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige skal underrette den registrerede om dennes mulighed for at udøve sine rettigheder gennem tilsynsmyndigheden i henhold til stk. 1.

3.   Hvis den i stk. 1 omhandlede ret udøves, underretter tilsynsmyndigheden som minimum den registrerede om, at tilsynsmyndigheden har foretaget den nødvendige kontrol eller undersøgelse. Tilsynsmyndigheden underretter også den registrerede om dennes adgang til retsmidler.

Artikel 18

Den registreredes rettigheder i forbindelse med strafferetlige efterforskninger og straffesager

Medlemsstaterne kan fastsætte bestemmelser om, at udøvelsen af de rettigheder, der er omhandlet i artikel 13, 14 og 16, skal gennemføres i henhold til medlemsstaternes nationale ret, når personoplysningerne er indeholdt i en retsafgørelse eller et register eller en sagsakt, der behandles i forbindelse med strafferetlige efterforskninger og straffesager.

KAPITEL IV

Dataansvarlig og databehandler

Afdeling 1

Generelle forpligtelser

Artikel 19

Den dataansvarliges forpligtelser

1.   Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige under hensyntagen til behandlingens karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder skal gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre og for at være i stand til at påvise, at behandling er i overensstemmelse med dette direktiv. Disse foranstaltninger skal om nødvendigt revideres og ajourføres.

2.   Hvis det står i rimeligt forhold til behandlingsaktiviteterne, skal de foranstaltninger, der er omhandlet i stk. 1, omfatte den dataansvarliges implementering af passende databeskyttelsespolitikker.

Artikel 20

Databeskyttelse gennem design og databeskyttelse gennem standardindstillinger

1.   Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder, som behandlingen indebærer, både på tidspunktet for fastlæggelse af midlerne til behandling og på tidspunktet for selve behandlingen skal gennemføre passende tekniske og organisatoriske foranstaltninger, såsom pseudonymisering, som er designet med henblik på effektiv implementering af databeskyttelsesprincipper, såsom dataminimering, og med henblik på integrering af de fornødne garantier i behandlingen for at opfylde kravene i dette direktiv og beskytte de registreredes rettigheder.

2.   Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige skal gennemføre passende tekniske og organisatoriske foranstaltninger med henblik på gennem standardindstillinger at sikre, at kun personoplysninger, der er nødvendige til hvert specifikt formål med behandlingen, behandles. Denne forpligtelse gælder den mængde personoplysninger, der indsamles, og omfanget af deres behandling samt deres opbevaringsperiode og tilgængelighed. Sådanne foranstaltninger skal navnlig gennem standardindstillinger sikre, at personoplysninger ikke uden den fysiske persons indgriben stilles til rådighed for et ubegrænset antal fysiske personer.

Artikel 21

Fælles dataansvarlige

1.   Medlemsstaterne fastsætter, hvis to eller flere dataansvarlige i fællesskab fastlægger formålene med og hjælpemidlerne til behandling, bestemmelser om, at de skal være fælles dataansvarlige. De fastsætter på en gennemsigtig måde deres respektive ansvar for overholdelse af dette direktiv, navnlig hvad angår udøvelsen af den registreredes rettigheder og deres respektive forpligtelser til at fremlægge de oplysninger, der er omhandlet i artikel 13, ved hjælp af en ordning mellem dem, medmindre og i det omfang de dataansvarliges respektive ansvar er fastlagt i EU-retten eller medlemsstaternes nationale ret, som de dataansvarlige er underlagt. I ordningen udpeges kontaktpunktet for de registrerede. Medlemsstaterne kan udpege den af de fælles dataansvarlige, der kan fungere som fælles kontaktpunkt for de registrerede, når disse udøver deres rettigheder.

2.   Uanset udformningen af den ordning, der er omhandlet i stk. 1, kan medlemsstaterne fastsætte bestemmelser om, at den registrerede kan udøve sine rettigheder i medfør af de bestemmelser, der vedtages i henhold til dette direktiv, med hensyn til og over for den enkelte dataansvarlige.

Artikel 22

Databehandler

1.   Medlemsstaterne fastsætter, hvis en behandling foretages på vegne af en dataansvarlig, bestemmelser om, at den dataansvarlige udelukkende må benytte databehandlere, der kan stille de fornødne garantier for, at de vil gennemføre de passende tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen opfylder kravene i dette direktiv og sikrer beskyttelse af den registreredes rettigheder.

2.   Medlemsstaterne fastsætter bestemmelser om, at databehandleren ikke må gøre brug af en anden databehandler uden forudgående specifik eller generel skriftlig godkendelse fra den dataansvarlige. I tilfælde af generel skriftlig godkendelse skal databehandleren underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af andre databehandlere og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer.

3.   Medlemsstaterne fastsætter bestemmelser om, at en databehandlers behandling skal være omfattet af en kontrakt eller et andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, der er bindende for databehandleren med hensyn til den dataansvarlige, og fastsætter genstanden for og varigheden af behandlingen, behandlingens karakter og formål, typen af personoplysninger og kategorierne af registrerede samt den dataansvarliges forpligtelser og rettigheder. Denne kontrakt eller andet retlige dokument fastlægger navnlig, at databehandleren:

| a) | kun må handle efter instruks fra den dataansvarlige |
| --- | --- |

a)

kun må handle efter instruks fra den dataansvarlige

| b) | sikrer, at de personer, der er autoriseret til at behandle personoplysninger, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt |
| --- | --- |

b)

sikrer, at de personer, der er autoriseret til at behandle personoplysninger, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt

| c) | bistår den dataansvarlige på enhver hensigtsmæssig måde med at sikre overholdelse af bestemmelserne om den registreredes rettigheder |
| --- | --- |

c)

bistår den dataansvarlige på enhver hensigtsmæssig måde med at sikre overholdelse af bestemmelserne om den registreredes rettigheder

| d) | efter den dataansvarliges valg sletter eller tilbageleverer alle personoplysningerne til den dataansvarlige, efter at tjenesterne vedrørende behandling er ophørt, og sletter eksisterende kopier, medmindre EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring af personoplysningerne |
| --- | --- |

d)

efter den dataansvarliges valg sletter eller tilbageleverer alle personoplysningerne til den dataansvarlige, efter at tjenesterne vedrørende behandling er ophørt, og sletter eksisterende kopier, medmindre EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring af personoplysningerne

| e) | stiller alle oplysninger, der er nødvendige for at påvise overholdelse af denne artikel, til rådighed for den dataansvarlige |
| --- | --- |

e)

stiller alle oplysninger, der er nødvendige for at påvise overholdelse af denne artikel, til rådighed for den dataansvarlige

| f) | overholder de betingelser, der er omhandlet i stk. 2 og 3, med henblik på at gøre brug af en anden databehandler. |
| --- | --- |

f)

overholder de betingelser, der er omhandlet i stk. 2 og 3, med henblik på at gøre brug af en anden databehandler.

4.   Kontrakten eller det andet retlige dokument, der er omhandlet i stk. 3, skal foreligge skriftligt, herunder elektronisk.

5.   Hvis en databehandler i strid med dette direktiv fastlægger formålene med og hjælpemidlerne til behandling, anses denne databehandler for at være en dataansvarlig, for så vidt angår den pågældende behandling.

Artikel 23

Behandling, der udføres for den dataansvarlige eller databehandleren

Medlemsstaterne fastsætter bestemmelser om, at databehandleren og enhver, der udfører arbejde for den dataansvarlige eller databehandleren, og som har adgang til personoplysninger, kun må behandle disse oplysninger efter instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-retten eller medlemsstaternes nationale ret.

Artikel 24

Fortegnelser over behandlingsaktiviteter

1.   Medlemsstaterne fastsætter bestemmelser om, at de dataansvarlige fører fortegnelser over alle kategorier af behandlingsaktiviteter under deres ansvar. Disse fortegnelser skal omfatte alle af følgende oplysninger:

| a) | navn på og kontaktoplysninger for den dataansvarlige og, hvis det er relevant, den fælles dataansvarlige og databeskyttelsesrådgiveren |
| --- | --- |

a)

navn på og kontaktoplysninger for den dataansvarlige og, hvis det er relevant, den fælles dataansvarlige og databeskyttelsesrådgiveren

| b) | formålene med behandlingen |
| --- | --- |

b)

formålene med behandlingen

| c) | de kategorier af modtagere, som personoplysningerne er eller vil blive videregivet til, herunder modtagere i tredjelande eller internationale organisationer |
| --- | --- |

c)

de kategorier af modtagere, som personoplysningerne er eller vil blive videregivet til, herunder modtagere i tredjelande eller internationale organisationer

| d) | en beskrivelse af kategorierne af registrerede og kategorierne af personoplysninger |
| --- | --- |

d)

en beskrivelse af kategorierne af registrerede og kategorierne af personoplysninger

| e) | hvor det er relevant, brugen af profilering |
| --- | --- |

e)

hvor det er relevant, brugen af profilering

| f) | hvor det er relevant, kategorierne af overførsler af personoplysninger til et tredjeland eller en international organisation |
| --- | --- |

f)

hvor det er relevant, kategorierne af overførsler af personoplysninger til et tredjeland eller en international organisation

| g) | en angivelse af retsgrundlaget for behandlingsaktiviteten, herunder overførsler, hvortil personoplysningerne er bestemt |
| --- | --- |

g)

en angivelse af retsgrundlaget for behandlingsaktiviteten, herunder overførsler, hvortil personoplysningerne er bestemt

| h) | hvis det er muligt, de forventede tidsfrister for sletning af de forskellige kategorier af personoplysninger |
| --- | --- |

h)

hvis det er muligt, de forventede tidsfrister for sletning af de forskellige kategorier af personoplysninger

| i) | hvis det er muligt, en generel beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger omhandlet i artikel 29, stk. 1. |
| --- | --- |

i)

hvis det er muligt, en generel beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger omhandlet i artikel 29, stk. 1.

2.   Medlemsstaterne fastsætter bestemmelser om, at hver databehandler skal føre fortegnelser over alle kategorier af behandlingsaktiviteter, der foretages på vegne af en dataansvarlig, idet fortegnelsen skal indeholde:

| a) | navn på og kontaktoplysninger for databehandleren eller databehandlerne, for hver dataansvarlig, på hvis vegne databehandleren handler, samt, hvis det er relevant, databeskyttelsesrådgiveren |
| --- | --- |

a)

navn på og kontaktoplysninger for databehandleren eller databehandlerne, for hver dataansvarlig, på hvis vegne databehandleren handler, samt, hvis det er relevant, databeskyttelsesrådgiveren

| b) | de kategorier af behandling, der foretages på vegne af den enkelte dataansvarlige |
| --- | --- |

b)

de kategorier af behandling, der foretages på vegne af den enkelte dataansvarlige

| c) | hvor det er relevant, overførsler af personoplysninger til et tredjeland eller en international organisation, når den dataansvarlige udtrykkeligt har givet instruks herom, herunder angivelse af dette tredjeland eller denne internationale organisation |
| --- | --- |

c)

hvor det er relevant, overførsler af personoplysninger til et tredjeland eller en international organisation, når den dataansvarlige udtrykkeligt har givet instruks herom, herunder angivelse af dette tredjeland eller denne internationale organisation

| d) | hvis det er muligt, en generel beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger omhandlet i artikel 29, stk. 1. |
| --- | --- |

d)

hvis det er muligt, en generel beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger omhandlet i artikel 29, stk. 1.

3.   De fortegnelser, der er omhandlet i stk. 1 og 2, skal foreligge skriftligt, herunder elektronisk.

Den dataansvarlige og databehandleren stiller efter anmodning disse fortegnelser til rådighed for tilsynsmyndigheden.

Artikel 25

Logning

1.   Medlemsstaterne fastsætter bestemmelser om, at der som minimum skal foretages logning af følgende former for behandlingsaktiviteter i automatiske databehandlingssystemer: indsamling, ændring, søgning, videregivelse, herunder overførsel, samkøring og sletning. Logning af søgning og videregivelse skal gøre det muligt at fastlægge begrundelsen, datoen og tidspunktet for sådanne aktiviteter og i videst muligt omfang identifikation af den person, som har søgt eller videregivet personoplysninger, og identiteten på modtagerne af sådanne personoplysninger.

2.   Loggene anvendes udelukkende til at kontrollere, om behandling er lovlig, til egenkontrol, til at sikre integriteten og sikkerheden af personoplysningerne og i forbindelse med straffesager.

3.   Den dataansvarlige og databehandleren stiller efter anmodning loggene til rådighed for tilsynsmyndigheden.

Artikel 26

Samarbejde med tilsynsmyndigheden

Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige og databehandleren efter anmodning skal samarbejde med tilsynsmyndigheden i forbindelse med udførelsen af dens opgaver.

Artikel 27

Konsekvensanalyse vedrørende databeskyttelse

1.   Hvis en type behandling, navnlig ved brug af nye teknologier og i medfør af sin karakter, omfang, sammenhæng og formål, sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, fastsætter medlemsstaterne bestemmelser om, at den dataansvarlige forud for behandlingen foretager en analyse af de påtænkte behandlingsaktiviteters konsekvenser for beskyttelse af personoplysninger.

2.   Den i stk. 1 omhandlede analyse skal mindst omfatte en generel beskrivelse af de planlagte behandlingsaktiviteter, en vurdering af risiciene for de registreredes rettigheder og frihedsrettigheder, de foranstaltninger, der påtænkes for at imødegå disse risici, garantier, sikkerhedsforanstaltninger og mekanismer, som kan sikre beskyttelse af personoplysninger og påvise overholdelse af dette direktiv, under hensyntagen til de registreredes og andre berørte personers rettigheder og legitime interesser.

Artikel 28

Forudgående høring af tilsynsmyndigheden

1.   Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige eller databehandleren skal høre tilsynsmyndigheden inden behandling af personoplysninger, der vil indgå som en del af et nyt register, der skal oprettes, såfremt:

| a) | en konsekvensanalyse vedrørende databeskyttelse, jf. artikel 27, viser, at behandlingen vil føre til en høj risiko i mangel af foranstaltninger truffet af den dataansvarlige for at begrænse risikoen, eller |
| --- | --- |

a)

en konsekvensanalyse vedrørende databeskyttelse, jf. artikel 27, viser, at behandlingen vil føre til en høj risiko i mangel af foranstaltninger truffet af den dataansvarlige for at begrænse risikoen, eller

| b) | den type behandling, navnlig ved brug af nye teknologier, mekanismer eller procedurer, indebærer en høj risiko for de registreredes rettigheder og frihedsrettigheder. |
| --- | --- |

b)

den type behandling, navnlig ved brug af nye teknologier, mekanismer eller procedurer, indebærer en høj risiko for de registreredes rettigheder og frihedsrettigheder.

2.   Medlemsstaterne fastsætter bestemmelser om, at tilsynsmyndigheden skal høres som led i udarbejdelsen af et forslag til lovgivningsmæssig foranstaltning, som skal vedtages af et nationalt parlament, eller af en regulerende foranstaltning, der har hjemmel i en sådan lovgivningsmæssig foranstaltning, og som vedrører behandling.

3.   Medlemsstaterne fastsætter bestemmelser om, at tilsynsmyndigheden kan fastsætte en liste over de behandlingsaktiviteter, hvor der i henhold til stk. 1 skal foretages en forudgående høring.

4.   Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige forelægger tilsynsmyndigheden den i artikel 27 omhandlede konsekvensanalyse vedrørende databeskyttelse og efter anmodning andre oplysninger, der sætter tilsynsmyndigheden i stand til at vurdere behandlingens overensstemmelse, og navnlig risiciene for beskyttelsen af registreredes personoplysninger og tilknyttede garantier.

5.   Medlemsstaterne fastsætter, hvis tilsynsmyndigheden finder, at den planlagte behandling omhandlet i nærværende artikels stk. 1, overtræder de bestemmelser, der vedtages i henhold til dette direktiv, navnlig hvis den dataansvarlige ikke tilstrækkeligt har identificeret eller begrænset risikoen, bestemmelser om, at tilsynsmyndigheden inden for en periode på op til seks uger efter modtagelse af anmodningen om høring skal give den dataansvarlige og, hvor det er relevant, databehandleren skriftlig rådgivning og i den forbindelse kan anvende enhver af sine beføjelser, jf. artikel 47. Denne periode kan forlænges med en måned under hensyntagen til den påtænkte behandlings kompleksitet. Tilsynsmyndigheden underretter den dataansvarlige og, hvor det er relevant, databehandleren om enhver sådan forlængelse senest en måned efter modtagelse af anmodningen om høring sammen med begrundelsen for forsinkelsen.

Afdeling 2

Personoplysningssikkerhed

Artikel 29

Behandlingssikkerhed

1.   Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige og databehandleren under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og behandlingens karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder skal gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici, navnlig for så vidt angår behandlingen af de særlige kategorier af personoplysninger, der er omhandlet i artikel 10.

2.   For så vidt angår automatisk behandling, fastsætter medlemsstaterne bestemmelser om, at den dataansvarlige eller databehandleren på grundlag af en risikovurdering gennemfører foranstaltninger til at sikre, at:

| a) | uautoriserede personer ikke kan få adgang til det behandlingsudstyr, der benyttes til behandling (»kontrol med fysisk adgang til udstyret«) |
| --- | --- |

a)

uautoriserede personer ikke kan få adgang til det behandlingsudstyr, der benyttes til behandling (»kontrol med fysisk adgang til udstyret«)

| b) | der ikke sker uautoriseret læsning, kopiering, ændring eller sletning af datamedier (»kontrol med datamedier«) |
| --- | --- |

b)

der ikke sker uautoriseret læsning, kopiering, ændring eller sletning af datamedier (»kontrol med datamedier«)

| c) | der ikke sker uautoriseret indlæsning af personoplysninger samt uautoriseret læsning, ændring eller sletning af opbevarede personoplysninger (»kontrol med opbevaring«) |
| --- | --- |

c)

der ikke sker uautoriseret indlæsning af personoplysninger samt uautoriseret læsning, ændring eller sletning af opbevarede personoplysninger (»kontrol med opbevaring«)

| d) | automatiske behandlingssystemer ikke via datakommunikationsudstyr kan benyttes af uautoriserede personer (»brugerkontrol«) |
| --- | --- |

d)

automatiske behandlingssystemer ikke via datakommunikationsudstyr kan benyttes af uautoriserede personer (»brugerkontrol«)

| e) | personer med bemyndigelse til at anvende et automatisk behandlingssystem kun har adgang til de personoplysninger, der er omfattet af deres adgangstilladelse (»kontrol med dataadgangen«) |
| --- | --- |

e)

personer med bemyndigelse til at anvende et automatisk behandlingssystem kun har adgang til de personoplysninger, der er omfattet af deres adgangstilladelse (»kontrol med dataadgangen«)

| f) | det er muligt at kontrollere og fastslå de organer, til hvilke der er blevet eller kan transmitteres eller stilles til rådighed ved hjælp af datakommunikationsudstyr (»kommunikationskontrol«) |
| --- | --- |

f)

det er muligt at kontrollere og fastslå de organer, til hvilke der er blevet eller kan transmitteres eller stilles til rådighed ved hjælp af datakommunikationsudstyr (»kommunikationskontrol«)

| g) | det er muligt efterfølgende at undersøge og fastslå, hvilke personoplysninger der er indlæst i automatiske behandlingssystemer, og hvornår og af hvem personoplysningerne blev indlæst (»kontrol med indlæsning«) |
| --- | --- |

g)

det er muligt efterfølgende at undersøge og fastslå, hvilke personoplysninger der er indlæst i automatiske behandlingssystemer, og hvornår og af hvem personoplysningerne blev indlæst (»kontrol med indlæsning«)

| h) | der ikke sker uautoriseret læsning, kopiering, ændring eller sletning af personoplysninger i forbindelse med overførsler af disse eller under transport af datamedier (»transportkontrol«) |
| --- | --- |

h)

der ikke sker uautoriseret læsning, kopiering, ændring eller sletning af personoplysninger i forbindelse med overførsler af disse eller under transport af datamedier (»transportkontrol«)

| i) | de anvendte systemer i tilfælde af teknisk uheld kan genetableres (»genopretning«) |
| --- | --- |

i)

de anvendte systemer i tilfælde af teknisk uheld kan genetableres (»genopretning«)

| j) | systemet fungerer, at indtrufne fejl meldes (»pålidelighed«), og at opbevarede personoplysninger ikke bliver ødelagt som følge af fejlfunktioner i systemet (»integritet«). |
| --- | --- |

j)

systemet fungerer, at indtrufne fejl meldes (»pålidelighed«), og at opbevarede personoplysninger ikke bliver ødelagt som følge af fejlfunktioner i systemet (»integritet«).

Artikel 30

Anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden

1.   Medlemsstaterne fastsætter ved brud på persondatasikkerheden bestemmelser om, at den dataansvarlige uden unødig forsinkelse og om muligt senest 72 timer, efter at denne er blevet bekendt med det, skal anmelde bruddet på persondatasikkerheden til tilsynsmyndigheden, medmindre at det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder og frihedsrettigheder. Foretages anmeldelsen til tilsynsmyndigheden ikke inden for 72 timer, ledsages den af en begrundelse for forsinkelsen.

2.   Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på, at der er sket et brud på persondatasikkerheden.

3.   Den i stk. 1 omhandlede anmeldelse skal mindst:

| a) | beskrive karakteren af bruddet på persondatasikkerheden, herunder, hvis det er muligt, kategorierne og det omtrentlige antal berørte registrerede samt kategorierne og det omtrentlige antal berørte registreringer af personoplysninger |
| --- | --- |

a)

beskrive karakteren af bruddet på persondatasikkerheden, herunder, hvis det er muligt, kategorierne og det omtrentlige antal berørte registrerede samt kategorierne og det omtrentlige antal berørte registreringer af personoplysninger

| b) | angive navn på og kontaktoplysninger for databeskyttelsesrådgiveren eller et andet kontaktpunkt, hvor yderligere oplysninger kan indhentes |
| --- | --- |

b)

angive navn på og kontaktoplysninger for databeskyttelsesrådgiveren eller et andet kontaktpunkt, hvor yderligere oplysninger kan indhentes

| c) | beskrive de sandsynlige konsekvenser af bruddet på persondatasikkerheden |
| --- | --- |

c)

beskrive de sandsynlige konsekvenser af bruddet på persondatasikkerheden

| d) | beskrive de foranstaltninger, som den dataansvarlige har truffet eller foreslår truffet for at håndtere bruddet på persondatasikkerheden, herunder, hvis det er relevant, foranstaltninger for at begrænse dets mulige skadevirkninger. |
| --- | --- |

d)

beskrive de foranstaltninger, som den dataansvarlige har truffet eller foreslår truffet for at håndtere bruddet på persondatasikkerheden, herunder, hvis det er relevant, foranstaltninger for at begrænse dets mulige skadevirkninger.

4.   Når og for så vidt som det ikke er muligt at forelægge oplysningerne samlet, kan oplysningerne meddeles trinvist uden unødig yderligere forsinkelse.

5.   Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige skal dokumentere alle brud på persondatasikkerheden som omhandlet i stk. 1, herunder de faktiske omstændigheder vedrørende bruddet på persondatasikkerheden, dets virkninger og de trufne afhjælpende foranstaltninger. Denne dokumentation skal kunne sætte tilsynsmyndigheden i stand til at kontrollere, at denne artikel er overholdt.

6.   Medlemsstaterne fastsætter, hvis bruddet på persondatasikkerheden omfatter personoplysninger, der er transmitteret af eller til den dataansvarlige i en anden medlemsstat, bestemmelser om, at de i stk. 3 omhandlede oplysninger uden unødig forsinkelse skal meddeles til den dataansvarlige i denne medlemsstat.

Artikel 31

Underretning om brud på persondatasikkerheden til den registrerede

1.   Medlemsstaterne fastsætter, når et brud på persondatasikkerheden sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, bestemmelser om, at den dataansvarlige uden unødig forsinkelse skal underrette den registrerede om bruddet på persondatasikkerheden.

2.   Underretningen af den registrerede i henhold til denne artikels stk. 1 skal i et klart og forståeligt sprog beskrive karakteren af bruddet på persondatasikkerheden og mindst indeholde de oplysninger og foranstaltninger, der er omhandlet i artikel 30, stk. 3, litra b), c) og d).

3.   Det er ikke nødvendigt at underrette den registrerede som omhandlet i stk. 1, hvis en af følgende betingelser er opfyldt:

| a) | den dataansvarlige har gennemført passende tekniske og organisatoriske beskyttelsesforanstaltninger, og disse foranstaltninger er blevet anvendt på de personoplysninger, som er berørt af bruddet på persondatasikkerheden, navnlig foranstaltninger, der gør personoplysningerne uforståelige for enhver, der ikke har autoriseret adgang hertil, som f.eks. kryptering |
| --- | --- |

a)

den dataansvarlige har gennemført passende tekniske og organisatoriske beskyttelsesforanstaltninger, og disse foranstaltninger er blevet anvendt på de personoplysninger, som er berørt af bruddet på persondatasikkerheden, navnlig foranstaltninger, der gør personoplysningerne uforståelige for enhver, der ikke har autoriseret adgang hertil, som f.eks. kryptering

| b) | den dataansvarlige har truffet efterfølgende foranstaltninger, der sikrer, at den høje risiko for de registreredes rettigheder og frihedsrettigheder som omhandlet i stk. 1 sandsynligvis ikke længere er reel |
| --- | --- |

b)

den dataansvarlige har truffet efterfølgende foranstaltninger, der sikrer, at den høje risiko for de registreredes rettigheder og frihedsrettigheder som omhandlet i stk. 1 sandsynligvis ikke længere er reel

| c) | det vil kræve en uforholdsmæssig indsats. I et sådant tilfælde skal der i stedet foretages en offentlig meddelelse eller tilsvarende foranstaltning, hvorved de registrerede underrettes på en tilsvarende effektiv måde. |
| --- | --- |

c)

det vil kræve en uforholdsmæssig indsats. I et sådant tilfælde skal der i stedet foretages en offentlig meddelelse eller tilsvarende foranstaltning, hvorved de registrerede underrettes på en tilsvarende effektiv måde.

4.   Hvis den dataansvarlige ikke allerede har underrettet den registrerede om bruddet på persondatasikkerheden, kan tilsynsmyndigheden efter at have overvejet sandsynligheden for, at bruddet på persondatasikkerheden indebærer en høj risiko, kræve, at den dataansvarlige gør dette, eller beslutte, at en af betingelserne i stk. 3 er opfyldt.

5.   Den i nærværende artikels stk. 1 omhandlede underretning af den registrerede kan udsættes, begrænses eller afskæres på de betingelser og af de årsager, der er omhandlet i artikel 13, stk. 3.

Afdeling 3

Databeskyttelsesrådgiver

Artikel 32

Udpegelse af databeskyttelsesrådgiveren

1.   Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige skal udpege en databeskyttelsesrådgiver. Medlemsstaterne kan fritage domstole og andre uafhængige judicielle myndigheder, når de udfører deres judicielle opgaver, for denne forpligtelse.

2.   Databeskyttelsesrådgiveren udpeges på grundlag af sine faglige kvalifikationer, navnlig ekspertise inden for databeskyttelsesret og -praksis samt evne til at udføre de opgaver, der er omhandlet i artikel 34.

3.   En fælles databeskyttelsesansvarlig kan udpeges for flere kompetente myndigheder under hensyntagen til deres organisatoriske struktur og størrelse.

4.   Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige skal offentliggøre kontaktoplysningerne for databeskyttelsesrådgiveren og meddele disse til tilsynsmyndigheden.

Artikel 33

Databeskyttelsesrådgiverens stilling

1.   Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige skal sikre, at databeskyttelsesrådgiveren inddrages tilstrækkeligt og rettidigt i alle spørgsmål vedrørende beskyttelse af personoplysninger.

2.   Den dataansvarlige støtter databeskyttelsesrådgiveren i forbindelse med udførelsen af de i artikel 34 omhandlede opgaver ved at tilvejebringe de ressourcer, der er nødvendige for at udføre disse opgaver og opretholde databeskyttelsesrådgiverens ekspertise, samt adgang til personoplysninger og behandlingsaktiviteter.

Artikel 34

Databeskyttelsesrådgiverens opgaver

Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige som minimum skal overdrage følgende opgaver til databeskyttelsesrådgiveren:

| a) | at underrette og rådgive den dataansvarlige og de ansatte, der behandler personoplysninger, om deres forpligtelser i henhold til dette direktiv og anden EU-ret eller national ret i medlemsstaterne om databeskyttelse |
| --- | --- |

a)

at underrette og rådgive den dataansvarlige og de ansatte, der behandler personoplysninger, om deres forpligtelser i henhold til dette direktiv og anden EU-ret eller national ret i medlemsstaterne om databeskyttelse

| b) | at overvåge overholdelsen af dette direktiv, af anden EU-ret eller national ret i medlemsstaterne om databeskyttelse og af den dataansvarliges politikker om beskyttelse af personoplysninger, herunder fordeling af ansvar, oplysningskampagner og uddannelse af det personale, der medvirker ved behandlingsaktiviteterne, og de tilhørende revisioner |
| --- | --- |

b)

at overvåge overholdelsen af dette direktiv, af anden EU-ret eller national ret i medlemsstaterne om databeskyttelse og af den dataansvarliges politikker om beskyttelse af personoplysninger, herunder fordeling af ansvar, oplysningskampagner og uddannelse af det personale, der medvirker ved behandlingsaktiviteterne, og de tilhørende revisioner

| c) | at rådgive, når der anmodes herom, med hensyn til konsekvensanalysen vedrørende databeskyttelse og overvåge dens opfyldelse i henhold til artikel 27 |
| --- | --- |

c)

at rådgive, når der anmodes herom, med hensyn til konsekvensanalysen vedrørende databeskyttelse og overvåge dens opfyldelse i henhold til artikel 27

| d) | at samarbejde med tilsynsmyndigheden |
| --- | --- |

d)

at samarbejde med tilsynsmyndigheden

| e) | at fungere som tilsynsmyndighedens kontaktpunkt i spørgsmål vedrørende behandling, herunder den forudgående høring, der er omhandlet i artikel 28, og at høre tilsynsmyndigheden, når det er hensigtsmæssigt, om eventuelle andre spørgsmål. |
| --- | --- |

e)

at fungere som tilsynsmyndighedens kontaktpunkt i spørgsmål vedrørende behandling, herunder den forudgående høring, der er omhandlet i artikel 28, og at høre tilsynsmyndigheden, når det er hensigtsmæssigt, om eventuelle andre spørgsmål.

KAPITEL V

Overførsler af personoplysninger til tredjelande eller internationale organisationer

Artikel 35

Generelle principper for overførsler af personoplysninger

1.   Medlemsstaterne fastsætter bestemmelser om, at enhver overførsel af personoplysninger, der foretages af kompetente myndigheder, og som underkastes behandling eller planlægges behandlet efter overførsel til et tredjeland eller en international organisation, herunder videreoverførsel til et andet tredjeland eller en anden international organisation, kun må finde sted, hvis de nationale bestemmelser, der vedtages i henhold til dette direktiv, er overholdt, og hvis betingelserne i dette kapitel er opfyldt, navnlig at:

| a) | overførslen er nødvendig med henblik på artikel 1, stk. 1 |
| --- | --- |

a)

overførslen er nødvendig med henblik på artikel 1, stk. 1

| b) | personoplysningerne overføres til en dataansvarlig i et tredjeland eller en international organisation, der er en myndighed, der er kompetent med henblik på artikel 1, stk. 1 |
| --- | --- |

b)

personoplysningerne overføres til en dataansvarlig i et tredjeland eller en international organisation, der er en myndighed, der er kompetent med henblik på artikel 1, stk. 1

| c) | hvor personoplysninger transmitteres eller stilles til rådighed fra en anden medlemsstat, denne medlemsstat har givet sin forudgående godkendelse til overførslen i henhold til dens nationale ret |
| --- | --- |

c)

hvor personoplysninger transmitteres eller stilles til rådighed fra en anden medlemsstat, denne medlemsstat har givet sin forudgående godkendelse til overførslen i henhold til dens nationale ret

| d) | Kommissionen i henhold til artikel 36 har truffet en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, eller der i fravær af en sådan afgørelse er blevet indført, eller der eksisterer de fornødne garantier i henhold til artikel 37, eller, i fravær af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet i henhold til artikel 36 og de fornødne garantier, jf. artikel 37, undtagelser for særlige situationer finder anvendelse i henhold til artikel 38, og |
| --- | --- |

d)

Kommissionen i henhold til artikel 36 har truffet en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, eller der i fravær af en sådan afgørelse er blevet indført, eller der eksisterer de fornødne garantier i henhold til artikel 37, eller, i fravær af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet i henhold til artikel 36 og de fornødne garantier, jf. artikel 37, undtagelser for særlige situationer finder anvendelse i henhold til artikel 38, og

| e) | den kompetente myndighed, der foretog den oprindelige overførsel, eller en anden kompetent myndighed i den samme medlemsstat, i tilfælde af videreoverførsel til et andet tredjeland eller en anden international organisation, giver bemyndigelse til videreoverførslen, efter at den har taget behørigt hensyn til alle relevante faktorer, herunder den strafbare handlings grovhed, det formål, hvortil personoplysningerne oprindeligt blev overført, og beskyttelsesniveauet for personoplysninger i det tredjeland eller den internationale organisation, hvortil personoplysningerne videreoverføres. |
| --- | --- |

e)

den kompetente myndighed, der foretog den oprindelige overførsel, eller en anden kompetent myndighed i den samme medlemsstat, i tilfælde af videreoverførsel til et andet tredjeland eller en anden international organisation, giver bemyndigelse til videreoverførslen, efter at den har taget behørigt hensyn til alle relevante faktorer, herunder den strafbare handlings grovhed, det formål, hvortil personoplysningerne oprindeligt blev overført, og beskyttelsesniveauet for personoplysninger i det tredjeland eller den internationale organisation, hvortil personoplysningerne videreoverføres.

2.   Medlemsstaterne fastsætter bestemmelser om, at overførsel uden forudgående godkendelse fra en anden medlemsstat i overensstemmelse med stk. 1, litra c), kun må tillades, hvis overførslen af personoplysningerne er nødvendig for at forebygge en umiddelbar og alvorlig trussel mod en medlemsstats eller et tredjelands offentlige sikkerhed eller mod en medlemsstats væsentlige interesser, og den forudgående godkendelse ikke kan indhentes i tide. Den myndighed, der er ansvarlig for at give den forudgående godkendelse, underrettes straks.

3.   Alle bestemmelserne i dette kapitel anvendes for at sikre, at det beskyttelsesniveau for fysiske personer, som sikres i dette direktiv, ikke undermineres.

Artikel 36

Overførsler baseret på en afgørelse om tilstrækkeligheden af beskyttelsesniveauet

1.   Medlemsstaterne fastsætter bestemmelser om, at overførsel af personoplysninger til et tredjeland eller en international organisation kan finde sted, hvis Kommissionen har fastslået, at tredjelandet, et område eller en eller flere specifikke sektorer i dette tredjeland, eller den pågældende internationale organisation har et tilstrækkeligt beskyttelsesniveau. En sådan overførsel af oplysninger kræver ikke specifik godkendelse.

2.   Ved vurdering af beskyttelsesniveauets tilstrækkelighed tager Kommissionen navnlig følgende elementer i betragtning:

| a) | retsstatsprincippet, respekt for menneskerettighederne og de grundlæggende frihedsrettigheder, relevant lovgivning, både generel og sektorbestemt, herunder vedrørende offentlig sikkerhed, forsvar, statens sikkerhed og strafferet og offentlige myndigheders adgang til personoplysninger, samt gennemførelsen af sådan lovgivning, databeskyttelsesregler, faglige regler og sikkerhedsforanstaltninger, herunder regler for videreoverførslen af personoplysninger til et andet tredjeland eller en anden international organisation, der gælder i dette land eller denne internationale organisation, retspraksis samt effektive rettigheder for registrerede, som kan håndhæves, og effektiv administrativ og retslig prøvelse for de registrerede, hvis personoplysninger overføres |
| --- | --- |

a)

retsstatsprincippet, respekt for menneskerettighederne og de grundlæggende frihedsrettigheder, relevant lovgivning, både generel og sektorbestemt, herunder vedrørende offentlig sikkerhed, forsvar, statens sikkerhed og strafferet og offentlige myndigheders adgang til personoplysninger, samt gennemførelsen af sådan lovgivning, databeskyttelsesregler, faglige regler og sikkerhedsforanstaltninger, herunder regler for videreoverførslen af personoplysninger til et andet tredjeland eller en anden international organisation, der gælder i dette land eller denne internationale organisation, retspraksis samt effektive rettigheder for registrerede, som kan håndhæves, og effektiv administrativ og retslig prøvelse for de registrerede, hvis personoplysninger overføres

| b) | tilstedeværelsen af en eller flere velfungerende uafhængige tilsynsmyndigheder i tredjelandet, eller som den internationale organisation er underlagt, med ansvar for at sikre og håndhæve, at databeskyttelsesregler overholdes, herunder tilstrækkelige håndhævelsesbeføjelser, for at bistå og rådgive de registrerede, når de udøver deres rettigheder, og for samarbejde med tilsynsmyndighederne i medlemsstaterne, og |
| --- | --- |

b)

tilstedeværelsen af en eller flere velfungerende uafhængige tilsynsmyndigheder i tredjelandet, eller som den internationale organisation er underlagt, med ansvar for at sikre og håndhæve, at databeskyttelsesregler overholdes, herunder tilstrækkelige håndhævelsesbeføjelser, for at bistå og rådgive de registrerede, når de udøver deres rettigheder, og for samarbejde med tilsynsmyndighederne i medlemsstaterne, og

| c) | de internationale forpligtelser, som tredjelandet eller den internationale organisation har påtaget sig, eller andre forpligtelser, der følger af retligt bindende konventioner eller instrumenter og af landets eller organisationens deltagelse i multilaterale eller regionale systemer, navnlig vedrørende beskyttelse af personoplysninger. |
| --- | --- |

c)

de internationale forpligtelser, som tredjelandet eller den internationale organisation har påtaget sig, eller andre forpligtelser, der følger af retligt bindende konventioner eller instrumenter og af landets eller organisationens deltagelse i multilaterale eller regionale systemer, navnlig vedrørende beskyttelse af personoplysninger.

3.   Kommissionen kan efter vurdering af beskyttelsesniveauets tilstrækkelighed ved hjælp af gennemførelsesretsakter fastslå, at et tredjeland, et område eller en eller flere specifikke sektorer i et tredjeland, eller en international organisation sikrer et tilstrækkeligt beskyttelsesniveau i overensstemmelse med denne artikels stk. 2. I den pågældende gennemførelsesretsakt fastsættes en mekanisme for regelmæssig revision, som foretages mindst hvert fjerde år, og som inddrager enhver relevant udvikling i tredjelandet eller den internationale organisation. I gennemførelsesretsakten angives dennes territoriale og sektorbestemte anvendelsesområde og i påkommende tilfælde den eller de tilsynsmyndigheder, jf. denne artikels stk. 2, litra b). Gennemførelsesretsakten vedtages efter undersøgelsesproceduren i artikel 58, stk. 2.

4.   Kommissionen overvåger løbende udviklinger i tredjelande og internationale organisationer, der kan påvirke virkningen af de afgørelser, der er vedtaget i henhold til stk. 3.

5.   Kommissionen ophæver, ændrer eller suspenderer i det omfang, det er nødvendigt, uden tilbagevirkende kraft afgørelsen omhandlet i denne artikels stk. 3, hvis tilgængelige oplysninger, navnlig efter den i denne artikels stk. 3 omhandlede revision, viser, at et tredjeland, et område eller en eller flere specifikke sektorer i et tredjeland, eller en international organisation ikke længere sikrer et tilstrækkeligt beskyttelsesniveau i overensstemmelse med denne artikels stk. 2. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 58, stk. 2.

I behørigt begrundede særligt hastende tilfælde vedtager Kommissionen efter proceduren i artikel 58, stk. 3, gennemførelsesretsakter, der finder anvendelse straks.

6.   Kommissionen fører konsultationer med tredjelandet eller den internationale organisation med henblik på at afhjælpe den situation, der giver anledning til en afgørelse vedtaget i henhold til stk. 5.

7.   Medlemsstaterne fastsætter bestemmelser om, at en afgørelse som angivet i stk. 5 ikke berører overførsel af personoplysninger til det pågældende tredjeland, det pågældende område eller en eller flere specifikke sektorer i dette tredjeland, eller den pågældende internationale organisation i medfør af artikel 37 og 38.

8.   Kommissionen offentliggør i Den Europæiske Unions Tidende og på sit websted en liste over de tredjelande, områder og specifikke sektorer i tredjelande samt internationale organisationer, som den har fastslået sikrer eller ikke længere sikrer et tilstrækkeligt beskyttelsesniveau.

Artikel 37

Overførsler omfattet af fornødne garantier

1.   Hvis der ikke er vedtaget en afgørelse i henhold til artikel 36, stk. 3, fastsætter medlemsstaterne bestemmelser om, at en overførsel af personoplysninger til et tredjeland eller en international organisation kan finde sted, hvis:

| a) | der er givet de fornødne garantier, hvad angår beskyttelsen af personoplysninger, i et retligt bindende instrument, eller |
| --- | --- |

a)

der er givet de fornødne garantier, hvad angår beskyttelsen af personoplysninger, i et retligt bindende instrument, eller

| b) | den dataansvarlige har vurderet alle forhold i forbindelse med overførslen af personoplysninger og konkluderer, at der findes de fornødne garantier, hvad angår beskyttelsen af personoplysninger. |
| --- | --- |

b)

den dataansvarlige har vurderet alle forhold i forbindelse med overførslen af personoplysninger og konkluderer, at der findes de fornødne garantier, hvad angår beskyttelsen af personoplysninger.

2.   Den dataansvarlige underretter tilsynsmyndigheden om kategorier af overførsler i medfør af stk. 1, litra b).

3.   En overførsel, der er hjemlet i stk. 1, litra b), dokumenteres, og dokumentationen stilles til rådighed for tilsynsmyndigheden efter anmodning, herunder dato og tidspunkt for overførslen, oplysninger om den modtagende kompetente myndighed, begrundelsen for overførslen og de overførte personoplysninger.

Artikel 38

Undtagelser i særlige situationer

1.   I mangel af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet i henhold til artikel 36 eller fornødne garantier i henhold til artikel 37 fastsætter medlemsstaterne bestemmelser om, at en overførsel eller en kategori af overførsler af personoplysninger til et tredjeland eller en international organisation kun må finde sted, såfremt overførslen er nødvendig:

| a) | for at beskytte den registreredes eller en anden persons vitale interesser |
| --- | --- |

a)

for at beskytte den registreredes eller en anden persons vitale interesser

| b) | for at beskytte den registreredes legitime interesser, hvis det er fastsat i national ret i den medlemsstat, der overfører personoplysningerne |
| --- | --- |

b)

for at beskytte den registreredes legitime interesser, hvis det er fastsat i national ret i den medlemsstat, der overfører personoplysningerne

| c) | for at afværge en umiddelbar og alvorlig trussel mod en medlemsstats eller et tredjelands offentlige sikkerhed |
| --- | --- |

c)

for at afværge en umiddelbar og alvorlig trussel mod en medlemsstats eller et tredjelands offentlige sikkerhed

| d) | i enkeltsager med henblik på artikel 1, stk. 1, eller |
| --- | --- |

d)

i enkeltsager med henblik på artikel 1, stk. 1, eller

| e) | i en enkeltsag for, at retskrav kan fastlægges, gøres gældende eller forsvares med henblik på artikel 1, stk. 1. |
| --- | --- |

e)

i en enkeltsag for, at retskrav kan fastlægges, gøres gældende eller forsvares med henblik på artikel 1, stk. 1.

2.   Personoplysninger må ikke overføres, hvis den overførende kompetente myndighed fastslår, at den pågældende registreredes grundlæggende rettigheder og frihedsrettigheder går forud for samfundets interesse i overførslen, jf. stk. 1, litra d) og e).

3.   En overførsel, der er hjemlet i stk. 1, skal dokumenteres, og dokumentationen stilles til rådighed for tilsynsmyndigheden efter anmodning og skal omfatte dato og tidspunkt for overførslen, oplysninger om den modtagende kompetente myndighed, begrundelsen for overførslen og angivelse af de overførte personoplysninger.

Artikel 39

Overførsler af personoplysninger til modtagere i tredjelande

1.   Uanset artikel 35, stk. 1, litra b), og uden at det berører en eventuel international aftale, jf. nærværende artikels stk. 2, kan EU-retten eller medlemsstaternes nationale ret fastsætte bestemmelser om, at de kompetente myndigheder omhandlet i artikel 3, nr. 7), litra a), i enkeltstående og specifikke tilfælde skal overføre personoplysninger direkte til modtagere i tredjelande, men kun hvis de øvrige bestemmelser i dette direktiv overholdes, og alle af følgende betingelser er opfyldt:

| a) | overførslen er strengt nødvendig for den overførende kompetente myndigheds udførelse af en opgave som fastlagt i EU-retten eller medlemsstaternes nationale ret med henblik på artikel 1, stk. 1 |
| --- | --- |

a)

overførslen er strengt nødvendig for den overførende kompetente myndigheds udførelse af en opgave som fastlagt i EU-retten eller medlemsstaternes nationale ret med henblik på artikel 1, stk. 1

| b) | den overførende kompetente myndighed fastslår, at ingen af den pågældende registreredes grundlæggende rettigheder og frihedsrettigheder går forud for samfundets interesse, der nødvendiggør overførslen i det foreliggende tilfælde |
| --- | --- |

b)

den overførende kompetente myndighed fastslår, at ingen af den pågældende registreredes grundlæggende rettigheder og frihedsrettigheder går forud for samfundets interesse, der nødvendiggør overførslen i det foreliggende tilfælde

| c) | den overførende kompetente myndighed mener, at overførslen til en myndighed, der i tredjelandet er kompetent med henblik på artikel 1, stk. 1, er ineffektiv eller uhensigtsmæssig, navnlig fordi overførslen ikke kan foretages i tide |
| --- | --- |

c)

den overførende kompetente myndighed mener, at overførslen til en myndighed, der i tredjelandet er kompetent med henblik på artikel 1, stk. 1, er ineffektiv eller uhensigtsmæssig, navnlig fordi overførslen ikke kan foretages i tide

| d) | den myndighed, der i tredjelandet er kompetent med henblik på artikel 1, stk. 1, underrettes uden unødig forsinkelse, medmindre dette er ineffektivt eller uhensigtsmæssigt |
| --- | --- |

d)

den myndighed, der i tredjelandet er kompetent med henblik på artikel 1, stk. 1, underrettes uden unødig forsinkelse, medmindre dette er ineffektivt eller uhensigtsmæssigt

| e) | den overførende kompetente myndighed underretter modtageren om det eller de specifikke formål, hvortil sidstnævnte udelukkende kan behandle personoplysningerne, forudsat at denne behandling er nødvendig. |
| --- | --- |

e)

den overførende kompetente myndighed underretter modtageren om det eller de specifikke formål, hvortil sidstnævnte udelukkende kan behandle personoplysningerne, forudsat at denne behandling er nødvendig.

2.   En international aftale, jf. stk. 1, skal være en bilateral eller multilateral international aftale, der er indgået mellem medlemsstater og tredjelande om retligt samarbejde i straffesager og politisamarbejde.

3.   Den overførende kompetente myndighed underretter tilsynsmyndigheden om overførsler i medfør af denne artikel.

4.   Hvis en overførsel er hjemlet i stk. 1, skal denne overførsel dokumenteres.

Artikel 40

Internationalt samarbejde om beskyttelse af personoplysninger

Kommissionen og tilsynsmyndighederne træffer i forhold til tredjelande og internationale organisationer de nødvendige foranstaltninger til at:

| a) | udvikle internationale samarbejdsmekanismer med henblik på at lette effektiv håndhævelse af lovgivningen om beskyttelse af personoplysninger |
| --- | --- |

a)

udvikle internationale samarbejdsmekanismer med henblik på at lette effektiv håndhævelse af lovgivningen om beskyttelse af personoplysninger

| b) | yde international gensidig bistand i håndhævelse af lovgivningen om beskyttelse af personoplysninger, herunder gennem anmeldelse, indbringelse af klager, efterforskningsbistand og informationsudveksling, under iagttagelse af de fornødne garantier for beskyttelse af personoplysninger og andre grundlæggende rettigheder og frihedsrettigheder |
| --- | --- |

b)

yde international gensidig bistand i håndhævelse af lovgivningen om beskyttelse af personoplysninger, herunder gennem anmeldelse, indbringelse af klager, efterforskningsbistand og informationsudveksling, under iagttagelse af de fornødne garantier for beskyttelse af personoplysninger og andre grundlæggende rettigheder og frihedsrettigheder

| c) | inddrage relevante parter i drøftelser og aktiviteter, der har til formål at fremme det internationale samarbejde om håndhævelse af lovgivningen om beskyttelse af personoplysninger |
| --- | --- |

c)

inddrage relevante parter i drøftelser og aktiviteter, der har til formål at fremme det internationale samarbejde om håndhævelse af lovgivningen om beskyttelse af personoplysninger

| d) | fremme udveksling og dokumentation af lovgivningen om beskyttelse af personoplysninger og praksis på området, herunder om kompetencekonflikter med tredjelande. |
| --- | --- |

d)

fremme udveksling og dokumentation af lovgivningen om beskyttelse af personoplysninger og praksis på området, herunder om kompetencekonflikter med tredjelande.

KAPITEL VI

Uafhængige tilsynsmyndigheder

Afdeling 1

Uafhængig status

Artikel 41

Tilsynsmyndighed

1.   Hver medlemsstat fastsætter bestemmelser om, at en eller flere uafhængige offentlige myndigheder skal være ansvarlige for at føre tilsyn med anvendelsen af dette direktiv, for at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling og for at lette fri udveksling af personoplysninger i Unionen (»tilsynsmyndighed«).

2.   Hver enkelt tilsynsmyndighed bidrager til den ensartede anvendelse af dette direktiv i hele Unionen. Til dette formål samarbejder tilsynsmyndighederne med hinanden og med Kommissionen i henhold til kapitel VII.

3.   Medlemsstaterne kan fastsætte bestemmelser om, at en tilsynsmyndighed, der er oprettet ved forordning (EU) 2016/679, skal være den tilsynsmyndighed, der er omhandlet i dette direktiv, og skal overdrages ansvaret for de opgaver, som skal udføres af den tilsynsmyndighed, der skal oprettes i medfør af denne artikels stk. 1.

4.   Hvis der er mere end én tilsynsmyndighed i en medlemsstat, udpeger den pågældende medlemsstat en tilsynsmyndighed, der skal repræsentere disse myndigheder i det i artikel 51 omhandlede databeskyttelsesråd.

Artikel 42

Uafhængighed

1.   Hver medlemsstat fastsætter bestemmelser om, at den enkelte tilsynsmyndighed skal udføre sine opgaver og udøve sine beføjelser i henhold til dette direktiv i fuld uafhængighed.

2.   Medlemsstaterne fastsætter bestemmelser om, at medlemmet eller medlemmerne af deres tilsynsmyndigheder i forbindelse med udførelsen af deres opgaver og udøvelsen af deres beføjelser i henhold til dette direktiv skal være frie for udefrakommende indflydelse, det være sig direkte eller indirekte, og at de hverken søger eller modtager instrukser fra andre.

3.   Medlemmer af medlemsstaternes tilsynsmyndigheder skal afholde sig fra enhver handling, der er uforenelig med deres hverv, og må ikke, så længe deres embedsperiode varer, udøve uforenelig lønnet eller ulønnet virksomhed.

4.   Hver medlemsstat sikrer, at den enkelte tilsynsmyndighed råder over de nødvendige menneskelige, tekniske og finansielle ressourcer samt lokaler og infrastruktur til effektivt at kunne udføre sine opgaver og udøve sine beføjelser, herunder opgaver og beføjelser vedrørende gensidig bistand samt samarbejde med og deltagelse i Databeskyttelsesrådet.

5.   Hver medlemsstat sikrer, at den enkelte tilsynsmyndighed vælger og råder over sit eget personale, der alene er under ledelse af medlemmet eller medlemmerne af den pågældende tilsynsmyndighed.

6.   Hver medlemsstat sikrer, at den enkelte tilsynsmyndighed er underlagt finansiel kontrol, som ikke påvirker dens uafhængighed, og at den fører særskilte, offentlige årsbudgetter, der kan være en del af det samlede statsbudget eller nationale budget.

Artikel 43

Generelle betingelser for medlemmer af en tilsynsmyndighed

1.   Medlemsstaterne fastsætter bestemmelser om, at hvert medlem af deres tilsynsmyndigheder skal udnævnes efter en gennemsigtig procedure af:

| — | deres parlament |
| --- | --- |

—

deres parlament

| — | deres regering |
| --- | --- |

—

deres regering

| — | deres statschef, eller |
| --- | --- |

—

deres statschef, eller

| — | et uafhængigt organ, der i henhold til medlemsstaternes nationale ret har fået overdraget ansvaret for udnævnelsen. |
| --- | --- |

—

et uafhængigt organ, der i henhold til medlemsstaternes nationale ret har fået overdraget ansvaret for udnævnelsen.

2.   Hvert medlem skal have de kvalifikationer, den erfaring og den kompetence, navnlig på området beskyttelse af personoplysninger, der er nødvendig for at varetage dets hverv og udøve dets beføjelser.

3.   Et medlems hverv ophører ved udløbet af embedsperioden, ved frivillig fratrædelse eller ved obligatorisk fratrædelse i henhold til den pågældende medlemsstats nationale ret.

4.   Et medlem må kun afskediges i tilfælde af alvorligt embedsmisbrug, eller hvis medlemmet ikke længere opfylder betingelserne for at varetage sit hverv.

Artikel 44

Regler om oprettelse af en tilsynsmyndighed

1.   Hver medlemsstat fastsætter ved lov bestemmelse om alle af følgende:

| a) | den enkelte tilsynsmyndigheds oprettelse |
| --- | --- |

a)

den enkelte tilsynsmyndigheds oprettelse

| b) | de nødvendige kvalifikationer og udvælgelseskriterier, der skal være opfyldt for at kunne blive udnævnt til medlem af den enkelte tilsynsmyndighed |
| --- | --- |

b)

de nødvendige kvalifikationer og udvælgelseskriterier, der skal være opfyldt for at kunne blive udnævnt til medlem af den enkelte tilsynsmyndighed

| c) | reglerne og procedurerne for udnævnelsen af medlemmet eller medlemmerne af den enkelte tilsynsmyndighed |
| --- | --- |

c)

reglerne og procedurerne for udnævnelsen af medlemmet eller medlemmerne af den enkelte tilsynsmyndighed

| d) | embedsperioden for medlemmet eller medlemmerne af den enkelte tilsynsmyndighed, som skal være mindst fire år, med undtagelse af den første udnævnelse efter den 6. maj 2016, som kan være af kortere varighed, hvis det er nødvendigt for at beskytte den pågældende tilsynsmyndigheds uafhængighed ved hjælp af en forskudt udnævnelsesprocedure |
| --- | --- |

d)

embedsperioden for medlemmet eller medlemmerne af den enkelte tilsynsmyndighed, som skal være mindst fire år, med undtagelse af den første udnævnelse efter den 6. maj 2016, som kan være af kortere varighed, hvis det er nødvendigt for at beskytte den pågældende tilsynsmyndigheds uafhængighed ved hjælp af en forskudt udnævnelsesprocedure

| e) | om og i bekræftende fald i hvor mange embedsperioder medlemmet eller medlemmerne af den enkelte tilsynsmyndighed kan genudnævnes |
| --- | --- |

e)

om og i bekræftende fald i hvor mange embedsperioder medlemmet eller medlemmerne af den enkelte tilsynsmyndighed kan genudnævnes

| f) | betingelserne vedrørende forpligtelserne for den enkelte tilsynsmyndigheds medlem eller medlemmer og personale, forbud mod handlinger, hverv og fordele, der er uforenelige hermed, under og efter embedsperioden samt regler for arbejdsophør. |
| --- | --- |

f)

betingelserne vedrørende forpligtelserne for den enkelte tilsynsmyndigheds medlem eller medlemmer og personale, forbud mod handlinger, hverv og fordele, der er uforenelige hermed, under og efter embedsperioden samt regler for arbejdsophør.

2.   Den enkelte tilsynsmyndigheds medlem eller medlemmer og personale har i overensstemmelse med EU-retten eller medlemsstaternes nationale ret såvel under som efter deres embedsperiode tavshedspligt for så vidt angår alle fortrolige oplysninger, der er kommet til deres kendskab under udførelsen af deres opgaver eller udøvelsen af deres beføjelser. I deres embedsperiode gælder denne tavshedspligt især indberetninger fra fysiske personer af overtrædelser af dette direktiv.

Afdeling 2

Kompetence, opgaver og beføjelser

Artikel 45

Kompetence

1.   Hver medlemsstat fastsætter bestemmelser om, at den enkelte tilsynsmyndighed skal have kompetence til at udføre de opgaver og udøve de beføjelser, der tillægges den i overensstemmelse med dette direktiv, på dens egen medlemsstats område.

2.   Hver medlemsstat fastsætter bestemmelser om, at den enkelte tilsynsmyndighed ikke skal have kompetence til at føre tilsyn med domstolenes behandlingsaktiviteter, når de handler i deres egenskab af domstol. Medlemsstaterne kan fastsætte bestemmelser om, at deres tilsynsmyndighed ikke skal have kompetence til at føre tilsyn med andre uafhængige judicielle myndigheders behandlingsaktiviteter, når de udfører deres judicielle opgaver.

Artikel 46

Opgaver

1.   Hver medlemsstat fastsætter for sit område bestemmelser om, at den enkelte tilsynsmyndighed skal:

| a) | føre tilsyn med og håndhæve anvendelsen af de bestemmelser, der vedtages i henhold til dette direktiv, og gennemførelsesbestemmelserne hertil |
| --- | --- |

a)

føre tilsyn med og håndhæve anvendelsen af de bestemmelser, der vedtages i henhold til dette direktiv, og gennemførelsesbestemmelserne hertil

| b) | fremme offentlighedens kendskab til og forståelse af risici, regler, garantier og rettigheder i forbindelse med behandling |
| --- | --- |

b)

fremme offentlighedens kendskab til og forståelse af risici, regler, garantier og rettigheder i forbindelse med behandling

| c) | i henhold til medlemsstaternes nationale ret rådgive det nationale parlament, regeringen og andre institutioner og organer om lovgivningsmæssige og administrative foranstaltninger til beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling |
| --- | --- |

c)

i henhold til medlemsstaternes nationale ret rådgive det nationale parlament, regeringen og andre institutioner og organer om lovgivningsmæssige og administrative foranstaltninger til beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling

| d) | fremme dataansvarliges og databehandleres kendskab til deres forpligtelser i medfør af dette direktiv |
| --- | --- |

d)

fremme dataansvarliges og databehandleres kendskab til deres forpligtelser i medfør af dette direktiv

| e) | efter anmodning informere alle registrerede om udøvelsen af deres rettigheder i medfør af dette direktiv og med henblik herpå samarbejde med tilsynsmyndighederne i andre medlemsstater, hvis det er relevant |
| --- | --- |

e)

efter anmodning informere alle registrerede om udøvelsen af deres rettigheder i medfør af dette direktiv og med henblik herpå samarbejde med tilsynsmyndighederne i andre medlemsstater, hvis det er relevant

| f) | behandle klager, der indgives af en registreret eller af et organ, en organisation eller en sammenslutning i overensstemmelse med artikel 55, og, for så vidt det er hensigtsmæssigt, undersøge genstanden for klagen og underrette klageren om forløbet og resultatet af undersøgelsen inden for en rimelig frist, navnlig hvis yderligere undersøgelse eller koordinering med en anden tilsynsmyndighed er nødvendig |
| --- | --- |

f)

behandle klager, der indgives af en registreret eller af et organ, en organisation eller en sammenslutning i overensstemmelse med artikel 55, og, for så vidt det er hensigtsmæssigt, undersøge genstanden for klagen og underrette klageren om forløbet og resultatet af undersøgelsen inden for en rimelig frist, navnlig hvis yderligere undersøgelse eller koordinering med en anden tilsynsmyndighed er nødvendig

| g) | kontrollere, om en behandling er lovlig i henhold til artikel 17, og i henhold til nævnte artikels stk. 3 underrette den registrerede inden for en rimelig frist om resultatet af undersøgelsen eller om årsagerne til, at undersøgelsen ikke er foretaget |
| --- | --- |

g)

kontrollere, om en behandling er lovlig i henhold til artikel 17, og i henhold til nævnte artikels stk. 3 underrette den registrerede inden for en rimelig frist om resultatet af undersøgelsen eller om årsagerne til, at undersøgelsen ikke er foretaget

| h) | samarbejde med andre tilsynsmyndigheder, herunder gennem udveksling af oplysninger og gensidig bistand med henblik på at sikre ensartet anvendelse og håndhævelse af dette direktiv |
| --- | --- |

h)

samarbejde med andre tilsynsmyndigheder, herunder gennem udveksling af oplysninger og gensidig bistand med henblik på at sikre ensartet anvendelse og håndhævelse af dette direktiv

| i) | gennemføre undersøgelser om anvendelsen af dette direktiv, herunder på grundlag af oplysninger, der er modtaget fra en anden tilsynsmyndighed eller en anden offentlig myndighed |
| --- | --- |

i)

gennemføre undersøgelser om anvendelsen af dette direktiv, herunder på grundlag af oplysninger, der er modtaget fra en anden tilsynsmyndighed eller en anden offentlig myndighed

| j) | holde øje med relevant udvikling, for så vidt den har indvirkning på beskyttelse af personoplysninger, navnlig udviklingen for informations- og kommunikationsteknologi |
| --- | --- |

j)

holde øje med relevant udvikling, for så vidt den har indvirkning på beskyttelse af personoplysninger, navnlig udviklingen for informations- og kommunikationsteknologi

| k) | rådgive om behandlingsaktiviteter som omhandlet i artikel 28, og |
| --- | --- |

k)

rådgive om behandlingsaktiviteter som omhandlet i artikel 28, og

| l) | bidrage til Databeskyttelsesrådets aktiviteter. |
| --- | --- |

l)

bidrage til Databeskyttelsesrådets aktiviteter.

2.   Hver tilsynsmyndighed letter indgivelsen af klager, jf. stk. 1, litra f), gennem foranstaltninger som f.eks. en klageformular, der også kan udfyldes elektronisk, uden at udelukke andre kommunikationsmidler.

3.   Hver tilsynsmyndighed varetager sine opgaver uden udgifter for den registrerede og for databeskyttelsesrådgiveren.

4.   Hvis en anmodning er åbenbart grundløs eller uforholdsmæssig, især fordi den gentages, kan tilsynsmyndigheden opkræve et rimeligt gebyr baseret på dens administrative omkostninger eller afvise at efterkomme anmodningen. Bevisbyrden for, at anmodningen er åbenbart grundløs eller uforholdsmæssig, påhviler tilsynsmyndigheden.

Artikel 47

Beføjelser

1.   Hver medlemsstat fastsætter ved lov bestemmelser om, at den enkelte tilsynsmyndighed skal have effektive undersøgelsesbeføjelser. Disse beføjelser skal som minimum indeholde beføjelse til af den dataansvarlige eller databehandleren at få indsigt i alle de personoplysninger, der er under behandling, og alle oplysninger, der kræves til udførelse af myndighedens opgaver.

2.   Hver medlemsstat fastsætter ved lov bestemmelser om, at den enkelte tilsynsmyndighed skal have effektive korrigerende beføjelser såsom f.eks.:

| a) | at udstede advarsler til en dataansvarlig eller en databehandler om, at planlagte behandlingsaktiviteter sandsynligvis vil være i strid med de bestemmelser, der vedtages i henhold til dette direktiv |
| --- | --- |

a)

at udstede advarsler til en dataansvarlig eller en databehandler om, at planlagte behandlingsaktiviteter sandsynligvis vil være i strid med de bestemmelser, der vedtages i henhold til dette direktiv

| b) | at give den dataansvarlige eller databehandleren påbud om at bringe behandlingsaktiviteter i overensstemmelse med de bestemmelser, der vedtages i henhold til dette direktiv, hvis det er hensigtsmæssigt, på en nærmere angivet måde og inden for en nærmere angivet frist, navnlig ved at give påbud om berigtigelse eller sletning af personoplysninger eller begrænsning af behandling i henhold til artikel 16 |
| --- | --- |

b)

at give den dataansvarlige eller databehandleren påbud om at bringe behandlingsaktiviteter i overensstemmelse med de bestemmelser, der vedtages i henhold til dette direktiv, hvis det er hensigtsmæssigt, på en nærmere angivet måde og inden for en nærmere angivet frist, navnlig ved at give påbud om berigtigelse eller sletning af personoplysninger eller begrænsning af behandling i henhold til artikel 16

| c) | midlertidigt eller definitivt at begrænse, herunder forbyde, behandling. |
| --- | --- |

c)

midlertidigt eller definitivt at begrænse, herunder forbyde, behandling.

3.   Hver medlemsstat fastsætter ved lov bestemmelser om, at den enkelte tilsynsmyndighed skal have effektive rådgivningsbeføjelser til at rådgive den dataansvarlige efter den procedure for forudgående høring, der er omhandlet i artikel 28, og på eget initiativ eller efter anmodning at afgive udtalelser til dens nationale parlament og dens regering eller i henhold til sin nationale ret til andre institutioner og organer samt offentligheden om ethvert spørgsmål om beskyttelse af personoplysninger.

4.   Udøvelsen af de beføjelser, der tillægges tilsynsmyndigheden i medfør af denne artikel, er underlagt de fornødne garantier, herunder effektive retsmidler og retfærdig procedure, som fastsat i EU-retten og medlemsstaternes nationale ret i overensstemmelse med chartret.

5.   Hver medlemsstat fastsætter ved lov bestemmelser om, at den enkelte tilsynsmyndighed skal have beføjelse til at indbringe overtrædelser af de bestemmelser, der vedtages i henhold til dette direktiv, for de judicielle myndigheder og om nødvendigt at indlede eller på anden måde deltage i retssager med henblik på at håndhæve de bestemmelser, der vedtages i henhold til dette direktiv.

Artikel 48

Indberetning af overtrædelser

Medlemsstaterne fastsætter bestemmelser om, at de kompetente myndigheder skal indføre effektive mekanismer, som tilskynder til fortrolig indberetning af overtrædelser af dette direktiv.

Artikel 49

Aktivitetsrapport

Hver tilsynsmyndighed udarbejder en årlig rapport om sin virksomhed, eventuelt med en liste over, hvilke typer overtrædelser der er blevet anmeldt, og hvilke typer sanktioner der er blevet pålagt. Disse rapporter fremsendes til det nationale parlament, regeringen og andre myndigheder, der er udpeget i henhold til medlemsstaternes nationale ret. De gøres tilgængelige for offentligheden, Kommissionen og Databeskyttelsesrådet.

KAPITEL VII

Samarbejde

Artikel 50

Gensidig bistand

1.   Hver medlemsstat fastsætter bestemmelser om, at deres tilsynsmyndigheder skal udveksle relevante oplysninger og yde hinanden gensidig bistand med henblik på at gennemføre og anvende dette direktiv på en ensartet måde, og træffe foranstaltninger med henblik på et effektivt samarbejde med hinanden. Gensidig bistand omfatter navnlig anmodninger om oplysninger og tilsynsforanstaltninger som f.eks. anmodninger om gennemførelse af høringer, inspektioner og undersøgelser.

2.   Hver medlemsstat fastsætter bestemmelser om, at den enkelte tilsynsmyndighed skal træffe alle passende foranstaltninger, som er nødvendige for at besvare en anmodning fra en anden tilsynsmyndighed uden unødig forsinkelse og senest en måned efter modtagelsen af anmodningen. Sådanne foranstaltninger kan bl.a. omfatte videregivelse af relevante oplysninger om gennemførelsen af en undersøgelse.

3.   Anmodninger om bistand skal indeholde alle nødvendige oplysninger, herunder formålet med og grunden til anmodningen. Udvekslede oplysninger må kun anvendes til det formål, som er angivet i anmodningen.

4.   Den anmodede tilsynsmyndighed må ikke afvise at imødekomme anmodningen, medmindre:

| a) | den ikke har kompetence med hensyn til genstanden for anmodningen eller de foranstaltninger, som den anmodes om at iværksætte, eller |
| --- | --- |

a)

den ikke har kompetence med hensyn til genstanden for anmodningen eller de foranstaltninger, som den anmodes om at iværksætte, eller

| b) | imødekommelse af anmodningen ville udgøre en overtrædelse af dette direktiv eller af EU-ret eller medlemsstaternes nationale ret, som den tilsynsmyndighed, der modtager anmodningen, er underlagt. |
| --- | --- |

b)

imødekommelse af anmodningen ville udgøre en overtrædelse af dette direktiv eller af EU-ret eller medlemsstaternes nationale ret, som den tilsynsmyndighed, der modtager anmodningen, er underlagt.

5.   Den anmodede tilsynsmyndighed underretter den anmodende tilsynsmyndighed om resultaterne eller efter omstændighederne om fremskridtene med de foranstaltninger, der er truffet for at imødekomme anmodningen. Den anmodede tilsynsmyndighed begrunder enhver afvisning af at imødekomme en anmodning i henhold til stk. 4.

6.   Anmodede tilsynsmyndigheder fremsender som hovedregel de oplysninger, som andre tilsynsmyndigheder anmoder om, elektronisk i et standardformat.

7.   Anmodede tilsynsmyndigheder må ikke opkræve gebyr for foranstaltninger, der træffes af dem på grundlag af en anmodning om gensidig bistand. Tilsynsmyndighederne kan vedtage regler om at godtgøre hinanden for specifikke udgifter, der opstår under ekstraordinære omstændigheder, når der ydes gensidig bistand.

8.   Kommissionen kan ved hjælp af gennemførelsesretsakter fastlægge format og procedurer for gensidig bistand som omhandlet i denne artikel og ordninger for elektronisk udveksling af oplysninger mellem tilsynsmyndigheder og mellem tilsynsmyndigheder og Databeskyttelsesrådet. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 58, stk. 2.

Artikel 51

Databeskyttelsesrådets opgaver

1.   Databeskyttelsesrådet, der er oprettet ved forordning (EU) 2016/679, udøver alle af følgende opgaver i forbindelse med behandling af personoplysninger inden for dette direktivs anvendelsesområde:

| a) | rådgiver Kommissionen om ethvert spørgsmål vedrørende beskyttelse af personoplysninger i Unionen, herunder om ethvert forslag til ændring af dette direktiv |
| --- | --- |

a)

rådgiver Kommissionen om ethvert spørgsmål vedrørende beskyttelse af personoplysninger i Unionen, herunder om ethvert forslag til ændring af dette direktiv

| b) | undersøger, på eget initiativ, efter anmodning fra et af sine medlemmer eller efter anmodning fra Kommissionen ethvert spørgsmål vedrørende anvendelsen af dette direktiv og udsteder retningslinjer, henstillinger og bedste praksis for at fremme ensartet anvendelse af dette direktiv |
| --- | --- |

b)

undersøger, på eget initiativ, efter anmodning fra et af sine medlemmer eller efter anmodning fra Kommissionen ethvert spørgsmål vedrørende anvendelsen af dette direktiv og udsteder retningslinjer, henstillinger og bedste praksis for at fremme ensartet anvendelse af dette direktiv

| c) | udarbejder retningslinjer for tilsynsmyndighederne vedrørende anvendelse af foranstaltninger, jf. artikel 47, stk. 1 og 3 |
| --- | --- |

c)

udarbejder retningslinjer for tilsynsmyndighederne vedrørende anvendelse af foranstaltninger, jf. artikel 47, stk. 1 og 3

| d) | udstede retningslinjer, henstillinger og bedste praksis i overensstemmelse med dette afsnits litra b) med henblik på fastlæggelse af brud på persondatasikkerheden og den unødige forsinkelse omhandlet i artikel 30, stk. 1 og 2, og vedrørende de særlige omstændigheder, hvor en dataansvarlig eller en databehandler har pligt til at anmelde brud på persondatasikkerheden |
| --- | --- |

d)

udstede retningslinjer, henstillinger og bedste praksis i overensstemmelse med dette afsnits litra b) med henblik på fastlæggelse af brud på persondatasikkerheden og den unødige forsinkelse omhandlet i artikel 30, stk. 1 og 2, og vedrørende de særlige omstændigheder, hvor en dataansvarlig eller en databehandler har pligt til at anmelde brud på persondatasikkerheden

| e) | udstede retningslinjer, henstillinger og bedste praksis i overensstemmelse med dette afsnits litra b) vedrørende de omstændigheder, hvor et brud på persondatasikkerheden sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder som omhandlet i artikel 31, stk. 1 |
| --- | --- |

e)

udstede retningslinjer, henstillinger og bedste praksis i overensstemmelse med dette afsnits litra b) vedrørende de omstændigheder, hvor et brud på persondatasikkerheden sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder som omhandlet i artikel 31, stk. 1

| f) | gennemgår den praktiske anvendelse af de retningslinjer og henstillinger og den bedste praksis, der er omhandlet i litra b) og c) |
| --- | --- |

f)

gennemgår den praktiske anvendelse af de retningslinjer og henstillinger og den bedste praksis, der er omhandlet i litra b) og c)

| g) | afgive udtalelse til Kommissionen med henblik på vurdering af tilstrækkeligheden af beskyttelsesniveauet i et tredjeland, et område eller en eller flere specifikke sektorer i et tredjeland, eller en international organisation, herunder vurdering af, om et sådant tredjeland, et sådant område, en sådan specifik sektor eller en sådan international organisation ikke længere sikrer et tilstrækkeligt beskyttelsesniveau |
| --- | --- |

g)

afgive udtalelse til Kommissionen med henblik på vurdering af tilstrækkeligheden af beskyttelsesniveauet i et tredjeland, et område eller en eller flere specifikke sektorer i et tredjeland, eller en international organisation, herunder vurdering af, om et sådant tredjeland, et sådant område, en sådan specifik sektor eller en sådan international organisation ikke længere sikrer et tilstrækkeligt beskyttelsesniveau

| h) | fremmer samarbejdet og en effektiv bilateral og multilateral udveksling af oplysninger og bedste praksis mellem tilsynsmyndighederne |
| --- | --- |

h)

fremmer samarbejdet og en effektiv bilateral og multilateral udveksling af oplysninger og bedste praksis mellem tilsynsmyndighederne

| i) | fremmer fælles uddannelsesprogrammer og udveksling af personale mellem tilsynsmyndighederne og i relevante tilfælde med tilsynsmyndighederne i tredjelande eller med internationale organisationer |
| --- | --- |

i)

fremmer fælles uddannelsesprogrammer og udveksling af personale mellem tilsynsmyndighederne og i relevante tilfælde med tilsynsmyndighederne i tredjelande eller med internationale organisationer

| j) | fremmer udveksling af viden og dokumentation vedrørende databeskyttelsesret og -praksis med datatilsynsmyndigheder over hele verden. |
| --- | --- |

j)

fremmer udveksling af viden og dokumentation vedrørende databeskyttelsesret og -praksis med datatilsynsmyndigheder over hele verden.

For så vidt angår første afsnit, litra g), forelægger Kommissionen Databeskyttelsesrådet al nødvendig dokumentation for, herunder korrespondance med regeringen i tredjelandet, med området eller den specifikke sektor i tredjelandet, eller med den internationale organisation.

2.   Hvis Kommissionen anmoder Databeskyttelsesrådet om rådgivning, kan den fastsætte en frist under hensyntagen til, hvor meget den pågældende sag haster.

3.   Databeskyttelsesrådet fremsender sine udtalelser, retningslinjer, henstillinger og bedste praksis til Kommissionen og det udvalg, der er omhandlet i artikel 58, stk. 1, og offentliggør dem.

4.   Kommissionen underretter Databeskyttelsesrådet om sin opfølgning på udtalelser, retningslinjer, henstillinger og bedste praksis udarbejdet af Databeskyttelsesrådet.

KAPITEL VIII

Retsmidler, ansvar og sanktioner

Artikel 52

Ret til at indgive klage til en tilsynsmyndighed

1.   Uden at det berører andre administrative klageadgange eller adgang til retsmidler, fastsætter medlemsstaterne bestemmelser om, at enhver registreret skal have ret til at indgive klage til en enkelt tilsynsmyndighed, hvis den registrerede finder, at behandlingen af personoplysninger vedrørende vedkommende overtræder de bestemmelser, der vedtages i henhold til dette direktiv.

2.   Medlemsstaterne fastsætter bestemmelser om, at den tilsynsmyndighed, som klagen er indgivet til, uden unødig forsinkelse skal videresende den til den kompetente tilsynsmyndighed, hvis klagen ikke er indgivet til den tilsynsmyndighed, der er kompetent i henhold til artikel 45, stk. 1. Den registrerede underrettes om videresendelsen.

3.   Medlemsstaterne fastsætter bestemmelser om, at den tilsynsmyndighed, som klagen er indgivet til, skal yde supplerende bistand efter den registreredes anmodning.

4.   Den kompetente tilsynsmyndighed underretter den registrerede om forløbet og resultatet af klagen, herunder om muligheden for anvendelse af retsmidler, jf. artikel 53.

Artikel 53

Adgang til effektive retsmidler over for en tilsynsmyndighed

1.   Uden at det berører andre administrative eller udenretslige klageadgange, fastsætter medlemsstaterne bestemmelser om, at enhver fysisk eller juridisk person har ret til effektive retsmidler over for en juridisk bindende afgørelse truffet af en tilsynsmyndighed vedrørende vedkommende.

2.   Uden at det berører andre administrative eller udenretslige klageadgange, har den enkelte registrerede adgang til effektive retsmidler, hvis den tilsynsmyndighed, der er kompetent i henhold til artikel 45, stk. 1, ikke behandler en klage eller undlader at underrette den registrerede om forløbet eller resultatet af en klage, der er indgivet i henhold til artikel 52, inden for tre måneder.

3.   Medlemsstaterne fastsætter bestemmelser om, at en sag mod en tilsynsmyndighed skal anlægges ved en domstol i den medlemsstat, hvor tilsynsmyndigheden er etableret.

Artikel 54

Adgang til et effektivt retsmiddel over for en dataansvarlig eller databehandler

Uden at det berører andre tilgængelige administrative eller udenretslige klageadgange, herunder retten til at indgive klage til en tilsynsmyndighed i henhold til artikel 52, fastsætter medlemsstaterne bestemmelser om, at en registreret skal have adgang til effektive retsmidler, hvis vedkommende finder, at vedkommendes rettigheder fastsat i bestemmelser, der er vedtaget i henhold til dette direktiv, er blevet krænket som følge af behandling af vedkommendes personoplysninger i strid med dette direktiv.

Artikel 55

Repræsentation af registrerede

Medlemsstaterne fastsætter i overensstemmelse med medlemsstaternes nationale retsplejeregler bestemmelser om, at den registrerede skal have ret til at bemyndige et organ, en organisation eller en sammenslutning, der er etableret i overensstemmelse med medlemsstaternes nationale ret, som ikke arbejder med gevinst for øje, hvis vedtægtsmæssige formål er af almen interesse, og som er aktiv på området for beskyttelse af registreredes rettigheder og frihedsrettigheder med hensyn til beskyttelse af deres personoplysninger, til at indgive en klage på sine vegne og til at udøve de rettigheder, der er omhandlet i artikel 52, 53 og 54, på sine vegne.

Artikel 56

Ret til erstatning

Medlemsstaterne fastsætter bestemmelser om, at enhver person, som har lidt materiel eller immateriel skade som følge af en ulovlig behandlingsaktivitet eller enhver anden handling, der overtræder de nationale bestemmelser, der vedtages i henhold til dette direktiv, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller en anden myndighed, der er kompetent i henhold til medlemsstaternes nationale ret.

Artikel 57

Sanktioner

Medlemsstaterne fastsætter regler om sanktioner, der skal anvendes i tilfælde af overtrædelser af de bestemmelser, der vedtages i henhold til dette direktiv, og træffer alle nødvendige foranstaltninger for at sikre, at de anvendes. Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning.

KAPITEL IX

Gennemførelsesretsakter

Artikel 58

Udvalgsprocedure

1.   Kommissionen bistås af udvalget nedsat ved artikel 93 i forordning (EU) 2016/679. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.

2.   Når der henvises til dette stykke, finder artikel 5 i forordning (EU) nr. 182/2011 anvendelse.

3.   Når der henvises til dette stykke, finder artikel 8 i forordning (EU) nr. 182/2011 sammenholdt med dennes artikel 5 anvendelse.

KAPITEL X

Afsluttende bestemmelser

Artikel 59

Ophævelse af rammeafgørelse 2008/977/RIA

1.   Rammeafgørelse 2008/977/RIA ophæves med virkning fra den 6. maj 2018.

2.   Henvisninger til den ophævede afgørelse, jf. stk. 1, gælder som henvisninger til dette direktiv.

Artikel 60

EU-retsakter, der allerede er i kraft

De særlige bestemmelser til beskyttelse af personoplysninger i EU-retsakter, der den eller inden den 6. maj 2016 er trådt i kraft på området for retligt samarbejde i straffesager og politisamarbejde, og som regulerer behandling mellem medlemsstaterne og medlemsstaternes udpegede myndigheders adgang til informationssystemer, der er oprettet i henhold til traktaterne inden for dette direktivs anvendelsesområde, berøres ikke.

Artikel 61

Forhold til tidligere indgåede internationale aftaler på området for retligt samarbejde i straffesager og politisamarbejde

Internationale aftaler, der omfatter overførsel af personoplysninger til tredjelande eller internationale organisationer, som er indgået af medlemsstaterne inden den 6. maj 2016, og som overholder den EU-ret, der finder anvendelse inden denne dato, forbliver i kraft, indtil de ændres, erstattes eller ophæves.

Artikel 62

Kommissionsrapporter

1.   Senest den 6. maj 2022 og hvert fjerde år derefter forelægger Kommissionen Europa-Parlamentet og Rådet en rapport om evaluering og revision af dette direktiv. Rapporterne skal offentliggøres.

2.   I forbindelse med de i stk. 1 omhandlede evalueringer og revisioner undersøger Kommissionen navnlig, hvordan kapitel V om overførsel af personoplysninger til tredjelande eller internationale organisationer anvendes og fungerer, særlig med hensyn til afgørelser vedtaget i henhold til artikel 36, stk. 3, og artikel 39.

3.   Kommissionen kan med henblik på stk. 1 og 2 anmode om oplysninger fra medlemsstaterne og tilsynsmyndighederne.

4.   Når Kommissionen foretager evaluering og revision, jf. stk. 1 og 2, tager den hensyn til holdninger og resultater fra Europa-Parlamentet, fra Rådet og fra andre relevante organer eller kilder.

5.   Kommissionen forelægger om nødvendigt relevante forslag med henblik på ændring af dette direktiv, navnlig under hensyntagen til udviklingen inden for informationsteknologi og i lyset af fremskridtene i informationssamfundet.

6.   Senest den 6. maj 2019 gennemgår Kommissionen andre vedtagne EU-retsakter, som regulerer de kompetente myndigheders behandling med henblik på artikel 1, stk. 1, herunder dem, der er omhandlet i artikel 60, for at vurdere behovet for at tilpasse dem til dette direktiv og, hvis det er hensigtsmæssigt, at fremsætte de forslag til ændring af disse retsakter, der måtte være nødvendige for at sikre en konsekvent tilgang til beskyttelse af personoplysninger inden for dette direktivs anvendelsesområde.

Artikel 63

Gennemførelse

1.   Medlemsstaterne vedtager og offentliggør senest den 6. maj 2018 de love og administrative bestemmelser, der er nødvendige for at efterkomme dette direktiv. De meddeler straks Kommissionen teksten til disse love og bestemmelser. De anvender disse love og bestemmelser fra den 6. maj 2018.

Disse love og bestemmelser skal ved vedtagelsen indeholde en henvisning til dette direktiv eller skal ved offentliggørelsen ledsages af en sådan henvisning. Medlemsstaterne fastsætter de nærmere regler for henvisningen.

2.   Uanset stk. 1 kan en medlemsstat i ekstraordinære tilfælde, og hvis det er uforholdsmæssigt vanskeligt, fastsætte bestemmelser om, at automatiske behandlingssystemer, der er indført før den 6. maj 2016, skal bringes i overensstemmelse med artikel 25, stk. 1, senest den 6. maj 2023.

3.   Uanset denne artikels stk. 1 og 2 kan en medlemsstat under ekstraordinære omstændigheder bringe et automatisk behandlingssystem som omhandlet i denne artikels stk. 2 i overensstemmelse med artikel 25, stk. 1, inden for en nærmere angivet periode efter den periode, der er omhandlet i nærværende artikels stk. 2, hvis det i modsat fald ville forårsage alvorlige vanskeligheder for driften af det pågældende automatiske behandlingssystem. Den pågældende medlemsstat meddeler Kommissionen årsagerne til disse alvorlige vanskeligheder og årsagerne til den angivne periode, inden for hvilken den bringer det pågældende automatiske behandlingssystem i overensstemmelse med artikel 25, stk. 1. Den angivne periode må under ingen omstændigheder være senere end den 6. maj 2026.

4.   Medlemsstaterne meddeler Kommissionen teksten til de vigtigste nationale retsforskrifter, som de udsteder på det område, der er omfattet af dette direktiv.

Artikel 64

Ikrafttræden

Dette direktiv træder i kraft dagen efter offentliggørelsen i Den Europæiske Unions Tidende.

Den Europæiske Unions Tidende

Artikel 65

Adressater

Dette direktiv er rettet til medlemsstaterne.

Udfærdiget i Bruxelles, den 27. april 2016.

På Europa-Parlamentets vegne

M. SCHULZ

Formand

På Rådets vegne

J.A. HENNIS-PLASSCHAERT

Formand

---

(1)  
  EUT C 391 af 18.12.2012, s. 127.

1

(2)  Europa-Parlamentets holdning af 12.3.2014 (endnu ikke offentliggjort i EUT) og Rådets førstebehandlingsholdning af 8.4.2016 (endnu ikke offentliggjort i EUT). Europa-Parlamentets holdning af 14.4.2016.

2

(3)  Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281 af 23.11.1995, s. 31).

3

(4)  Rådets rammeafgørelse 2008/977/RIA af 27. november 2008 om beskyttelse af personoplysninger i forbindelse med politisamarbejde og retligt samarbejde i kriminalsager (EUT L 350 af 30.12.2008, s. 60).

4

(5)  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (se side 1 i denne EUT).

5

(6)  Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger (EFT L 8 af 12.1.2001, s. 1).

6

(7)  Europa-Parlamentets og Rådets direktiv 2011/24/EU af 9. marts 2011 om patientrettigheder i forbindelse med grænseoverskridende sundhedsydelser (EUT L 88 af 4.4.2011, s. 45).

7

(8)  Rådets fælles holdning 2005/69/RIA af 24. januar 2005 om udveksling af bestemte oplysninger med Interpol (EUT L 27 af 29.1.2005, s. 61).

8

(9)  Rådets afgørelse 2007/533/RIA af 12. juni 2007 om oprettelse, drift og brug af anden generation af Schengen-informationssystemet (SIS II) (EUT L 205 af 7.8.2007, s. 63).

9

(10)  Rådets direktiv 77/249/EØF af 22. marts 1977 om lettelser med henblik på den faktiske gennemførelse af advokaters fri udveksling af tjenesteydelser (EFT L 78 af 26.3.1977, s. 17).

10

(11)  Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (EUT L 55 af 28.2.2011, s. 13).

11

(12)  Rådets afgørelse 2008/615/RIA af 23. juni 2008 om intensivering af det grænseoverskridende samarbejde, navnlig om bekæmpelse af terrorisme og grænseoverskridende kriminalitet (EUT L 210 af 6.8.2008, s. 1).

12

(13)  Rådets retsakt af 29. maj 2000 om udarbejdelse i henhold til artikel 34 i traktaten om Den Europæiske Union af konventionen om gensidig retshjælp i straffesager mellem Den Europæiske Unions medlemsstater (EFT C 197 af 12.7.2000, s. 1).

13

(14)  Europa-Parlamentets og Rådets direktiv 2011/93/EU af 13. december 2011 om bekæmpelse af seksuelt misbrug og seksuel udnyttelse af børn og børnepornografi og om erstatning af Rådets rammeafgørelse 2004/68/RIA (EUT L 335 af 17.12.2011, s. 1).

14

(15)  
  EFT L 176 af 10.7.1999, s. 36.

15

(16)  
  EUT L 53 af 27.2.2008, s. 52.

16

(17)  
  EUT L 160 af 18.6.2011, s. 21.

17

(18)  
  EUT C 192 af 30.6.2012, s. 7.

18

---

| 4.5.2016 | DA | Den Europæiske Unions Tidende | L 119/132 |
| --- | --- | --- | --- |

4.5.2016

DA

Den Europæiske Unions Tidende

L 119/132

---

EUROPA-PARLAMENTETS OG RÅDETS DIREKTIV (EU) 2016/681

af 27. april 2016

om anvendelse af passagerlisteoplysninger (PNR-oplysninger) til at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet

EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 82, stk. 1, litra d), og artikel 87, stk. 2, litra a),

under henvisning til forslag fra Europa-Kommissionen,

efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,

under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg (1),

efter høring af Regionsudvalget,

efter den almindelige lovgivningsprocedure (2), og

ud fra følgende betragtninger:

| (1) | Kommissionen vedtog den 6. november 2007 et forslag til Rådets rammeafgørelse om anvendelse af passagerlisteoplysninger (PNR-oplysninger) med henblik på retshåndhævelse. Ved Lissabontraktatens ikrafttræden den 1. december 2009 bortfaldt kommissionsforslaget imidlertid, da Rådet ikke havde vedtaget det inden da. |
| --- | --- |

(1)

Kommissionen vedtog den 6. november 2007 et forslag til Rådets rammeafgørelse om anvendelse af passagerlisteoplysninger (PNR-oplysninger) med henblik på retshåndhævelse. Ved Lissabontraktatens ikrafttræden den 1. december 2009 bortfaldt kommissionsforslaget imidlertid, da Rådet ikke havde vedtaget det inden da.

| (2) | I »Stockholmprogrammet — et åbent og sikkert Europa i borgernes tjeneste og til deres beskyttelse« (3) blev Kommissionen opfordret til at fremsætte forslag om anvendelsen af PNR-oplysninger med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet. |
| --- | --- |

(2)

I »Stockholmprogrammet — et åbent og sikkert Europa i borgernes tjeneste og til deres beskyttelse« (3) blev Kommissionen opfordret til at fremsætte forslag om anvendelsen af PNR-oplysninger med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet.

| (3) | Kommissionen skitserede i sin meddelelse af 21. september 2010»om den globale tilgang til overførsel af passageroplysninger (PNR) til tredjelande« en række nøgleelementer i en EU-politik på dette område. |
| --- | --- |

(3)

Kommissionen skitserede i sin meddelelse af 21. september 2010»om den globale tilgang til overførsel af passageroplysninger (PNR) til tredjelande« en række nøgleelementer i en EU-politik på dette område.

| (4) | Rådets direktiv 2004/82/EF (4) regulerer luftfartsselskabernes videregivelse af forhåndsoplysninger om passagerer (API-oplysninger) til de kompetente nationale myndigheder med henblik på at forbedre grænsekontrollen og bekæmpe ulovlig indvandring. |
| --- | --- |

(4)

Rådets direktiv 2004/82/EF (4) regulerer luftfartsselskabernes videregivelse af forhåndsoplysninger om passagerer (API-oplysninger) til de kompetente nationale myndigheder med henblik på at forbedre grænsekontrollen og bekæmpe ulovlig indvandring.

| (5) | Formålene med nærværende direktiv er bl.a. at garantere sikkerheden, beskytte personers liv og sikkerhed og skabe en retlig ramme for beskyttelse af PNR-oplysninger med hensyn til de kompetente myndigheders behandling heraf. |
| --- | --- |

(5)

Formålene med nærværende direktiv er bl.a. at garantere sikkerheden, beskytte personers liv og sikkerhed og skabe en retlig ramme for beskyttelse af PNR-oplysninger med hensyn til de kompetente myndigheders behandling heraf.

| (6) | En effektiv anvendelse af PNR-oplysninger, f.eks. ved at kontrollere PNR-oplysninger i forskellige databaser over eftersøgte personer og genstande, er nødvendig for at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet og derved forbedre den interne sikkerhed, at indsamle bevismateriale og, hvor det er relevant, at finde kriminelles medskyldige og optrævle kriminelle netværk. |
| --- | --- |

(6)

En effektiv anvendelse af PNR-oplysninger, f.eks. ved at kontrollere PNR-oplysninger i forskellige databaser over eftersøgte personer og genstande, er nødvendig for at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet og derved forbedre den interne sikkerhed, at indsamle bevismateriale og, hvor det er relevant, at finde kriminelles medskyldige og optrævle kriminelle netværk.

| (7) | Vurdering af PNR-oplysninger gør det muligt at identificere personer, der ikke har været mistænkt for at være involveret i terrorhandlinger eller grov kriminalitet forud for en sådan vurdering, og som de kompetente myndigheder bør undersøge nærmere. Ved at anvende PNR-oplysninger er det muligt at imødegå den trussel, som terrorhandlinger og grov kriminalitet udgør, fra et andet perspektiv end ved behandling af andre kategorier af personoplysninger. For at sikre at behandlingen af PNR-oplysninger fortsat begrænses i nødvendigt omfang, bør fastsættelsen og anvendelsen af vurderingskriterier imidlertid begrænses til terrorhandlinger og grov kriminalitet, for hvilke anvendelsen af sådanne kriterier er relevant. Endvidere bør vurderingskriterierne defineres på en måde, der minimerer antallet af uskyldige personer, som uretmæssigt identificeres af systemet. |
| --- | --- |

(7)

Vurdering af PNR-oplysninger gør det muligt at identificere personer, der ikke har været mistænkt for at være involveret i terrorhandlinger eller grov kriminalitet forud for en sådan vurdering, og som de kompetente myndigheder bør undersøge nærmere. Ved at anvende PNR-oplysninger er det muligt at imødegå den trussel, som terrorhandlinger og grov kriminalitet udgør, fra et andet perspektiv end ved behandling af andre kategorier af personoplysninger. For at sikre at behandlingen af PNR-oplysninger fortsat begrænses i nødvendigt omfang, bør fastsættelsen og anvendelsen af vurderingskriterier imidlertid begrænses til terrorhandlinger og grov kriminalitet, for hvilke anvendelsen af sådanne kriterier er relevant. Endvidere bør vurderingskriterierne defineres på en måde, der minimerer antallet af uskyldige personer, som uretmæssigt identificeres af systemet.

| (8) | Luftfartsselskaber indsamler og behandler allerede deres passagerers PNR-oplysninger til egen forretningsmæssig brug. Dette direktiv bør ikke pålægge luftfartsselskaberne nogen pligt til at indsamle eller opbevare yderligere oplysninger fra passagererne eller passagererne nogen pligt til at fremlægge flere oplysninger end dem, der allerede gives til luftfartsselskaberne. |
| --- | --- |

(8)

Luftfartsselskaber indsamler og behandler allerede deres passagerers PNR-oplysninger til egen forretningsmæssig brug. Dette direktiv bør ikke pålægge luftfartsselskaberne nogen pligt til at indsamle eller opbevare yderligere oplysninger fra passagererne eller passagererne nogen pligt til at fremlægge flere oplysninger end dem, der allerede gives til luftfartsselskaberne.

| (9) | Nogle luftfartsselskaber opbevarer som en del af PNR-oplysningerne de af dem indsamlede API-oplysninger, mens andre ikke gør. Anvendelsen af PNR-oplysninger sammen med API-oplysninger tilføjer en merværdi, når det drejer sig om at bistå medlemsstaterne med at kontrollere en persons identitet, og styrker derved den retshåndhævelsesmæssige værdi af dette resultat og minimerer risikoen for, at uskyldige personer kontrolleres og efterforskes. Det er derfor vigtigt at sikre, at luftfartsselskaberne ved indsamling af API-oplysninger videregiver disse, uanset om de opbevarer API-oplysningerne ved hjælp af andre tekniske midler end andre PNR-oplysninger. |
| --- | --- |

(9)

Nogle luftfartsselskaber opbevarer som en del af PNR-oplysningerne de af dem indsamlede API-oplysninger, mens andre ikke gør. Anvendelsen af PNR-oplysninger sammen med API-oplysninger tilføjer en merværdi, når det drejer sig om at bistå medlemsstaterne med at kontrollere en persons identitet, og styrker derved den retshåndhævelsesmæssige værdi af dette resultat og minimerer risikoen for, at uskyldige personer kontrolleres og efterforskes. Det er derfor vigtigt at sikre, at luftfartsselskaberne ved indsamling af API-oplysninger videregiver disse, uanset om de opbevarer API-oplysningerne ved hjælp af andre tekniske midler end andre PNR-oplysninger.

| (10) | For at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet er det vigtigt, at alle medlemsstaterne indfører bestemmelser, som forpligter de luftfartsselskaber, der foretager flyvninger uden for EU, til at videregive de af dem indsamlede PNR-oplysninger, herunder API-oplysninger. Medlemsstaterne bør også have mulighed for at udstrække denne forpligtelse til luftfartsselskaber, der foretager flyvninger inden for EU. Disse bestemmelser bør ikke berøre direktiv 2004/82/EF. |
| --- | --- |

(10)

For at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet er det vigtigt, at alle medlemsstaterne indfører bestemmelser, som forpligter de luftfartsselskaber, der foretager flyvninger uden for EU, til at videregive de af dem indsamlede PNR-oplysninger, herunder API-oplysninger. Medlemsstaterne bør også have mulighed for at udstrække denne forpligtelse til luftfartsselskaber, der foretager flyvninger inden for EU. Disse bestemmelser bør ikke berøre direktiv 2004/82/EF.

| (11) | Behandlingen af personoplysninger bør stå i rimeligt forhold til de konkrete sikkerhedsmål, der forfølges i dette direktiv. |
| --- | --- |

(11)

Behandlingen af personoplysninger bør stå i rimeligt forhold til de konkrete sikkerhedsmål, der forfølges i dette direktiv.

| (12) | Terrorhandlinger bør i dette direktiv defineres på samme måde som i Rådets rammeafgørelse 2002/475/RIA (5). Definitionen af grov kriminalitet bør omfatte de kategorier af overtrædelser, der er opført på listen i bilag II til dette direktiv. |
| --- | --- |

(12)

Terrorhandlinger bør i dette direktiv defineres på samme måde som i Rådets rammeafgørelse 2002/475/RIA (5). Definitionen af grov kriminalitet bør omfatte de kategorier af overtrædelser, der er opført på listen i bilag II til dette direktiv.

| (13) | PNR-oplysninger bør af klarhedshensyn og for at mindske luftfartsselskabernes omkostninger videregives til én enkelt passageroplysningsenhed, der er udpeget til det formål, i den relevante medlemsstat. Passageroplysningsenheden kan have forskellige afdelinger i en medlemsstat, og medlemsstaterne kan også oprette en passageroplysningsenhed i fællesskab. Medlemsstaterne bør udveksle oplysningerne indbyrdes gennem relevante informationsudvekslingsnetværk for at gøre det lettere at dele oplysninger og sikre interoperabilitet. |
| --- | --- |

(13)

PNR-oplysninger bør af klarhedshensyn og for at mindske luftfartsselskabernes omkostninger videregives til én enkelt passageroplysningsenhed, der er udpeget til det formål, i den relevante medlemsstat. Passageroplysningsenheden kan have forskellige afdelinger i en medlemsstat, og medlemsstaterne kan også oprette en passageroplysningsenhed i fællesskab. Medlemsstaterne bør udveksle oplysningerne indbyrdes gennem relevante informationsudvekslingsnetværk for at gøre det lettere at dele oplysninger og sikre interoperabilitet.

| (14) | Medlemsstaterne bør afholde omkostningerne ved anvendelse, opbevaring og udveksling af PNR-oplysninger. |
| --- | --- |

(14)

Medlemsstaterne bør afholde omkostningerne ved anvendelse, opbevaring og udveksling af PNR-oplysninger.

| (15) | En liste med de PNR-oplysninger, som en passageroplysningsenhed skal have, bør ved udformningen afspejle de offentlige myndigheders berettigede krav med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger eller grov kriminalitet for derved at forbedre den indre sikkerhed i Unionen og beskytte de grundlæggende rettigheder, navnlig retten til privatlivets fred og beskyttelse af personoplysninger. Med henblik herpå bør der anvendes høje standarder i overensstemmelse med Den Europæiske Unions charter om grundlæggende rettigheder (»chartret«), konventionen om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger (»konvention nr. 108«) og den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder (»EMRK«). En sådan liste bør ikke være baseret på en persons race eller etniske oprindelse, religion eller tro, politiske eller andre anskuelser, medlemskab af en fagforening, sundhed, seksualitet eller seksuel orientering. PNR-oplysningerne bør udelukkende indeholde nærmere oplysninger om passagerers reservationer og rejseplaner, der sætter de kompetente myndigheder i stand til at finde frem til, hvilke flypassagerer der udgør en trussel mod den indre sikkerhed. |
| --- | --- |

(15)

En liste med de PNR-oplysninger, som en passageroplysningsenhed skal have, bør ved udformningen afspejle de offentlige myndigheders berettigede krav med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger eller grov kriminalitet for derved at forbedre den indre sikkerhed i Unionen og beskytte de grundlæggende rettigheder, navnlig retten til privatlivets fred og beskyttelse af personoplysninger. Med henblik herpå bør der anvendes høje standarder i overensstemmelse med Den Europæiske Unions charter om grundlæggende rettigheder (»chartret«), konventionen om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger (»konvention nr. 108«) og den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder (»EMRK«). En sådan liste bør ikke være baseret på en persons race eller etniske oprindelse, religion eller tro, politiske eller andre anskuelser, medlemskab af en fagforening, sundhed, seksualitet eller seksuel orientering. PNR-oplysningerne bør udelukkende indeholde nærmere oplysninger om passagerers reservationer og rejseplaner, der sætter de kompetente myndigheder i stand til at finde frem til, hvilke flypassagerer der udgør en trussel mod den indre sikkerhed.

| (16) | Der findes på nuværende tidspunkt to mulige måder at videregive PNR-oplysninger på, nemlig »pull«-metoden, hvor de kompetente myndigheder i den medlemsstat, der anmoder om PNR-oplysninger, får adgang til luftfartsselskabets reservationssystem og udtrækker (»pull«) en kopi af de krævede oplysninger, og »push«-metoden, hvor luftfartsselskabet videregiver (»push«) de krævede PNR-oplysninger til den myndighed, der anmoder om dem, hvorved luftfartsselskaberne bevarer kontrollen med, hvilke oplysninger der videregives. »Push«-metoden anses for at give en højere grad af databeskyttelse og bør være obligatorisk for alle luftfartsselskaber. |
| --- | --- |

(16)

Der findes på nuværende tidspunkt to mulige måder at videregive PNR-oplysninger på, nemlig »pull«-metoden, hvor de kompetente myndigheder i den medlemsstat, der anmoder om PNR-oplysninger, får adgang til luftfartsselskabets reservationssystem og udtrækker (»pull«) en kopi af de krævede oplysninger, og »push«-metoden, hvor luftfartsselskabet videregiver (»push«) de krævede PNR-oplysninger til den myndighed, der anmoder om dem, hvorved luftfartsselskaberne bevarer kontrollen med, hvilke oplysninger der videregives. »Push«-metoden anses for at give en højere grad af databeskyttelse og bør være obligatorisk for alle luftfartsselskaber.

| (17) | Kommissionen støtter de retningslinjer for PNR-oplysninger, som Organisationen for International Civil Luftfart (ICAO) har udarbejdet. Disse retningslinjer bør derfor udgøre grundlaget for vedtagelsen af de understøttede dataformater for luftfartsselskabernes videregivelse af PNR-oplysninger til medlemsstaterne. For at sikre ensartede betingelser for gennemførelsen af understøttede dataformater og af relevante protokoller, der finder anvendelse på luftfartsselskabernes videregivelse af oplysninger, bør Kommissionen tillægges gennemførelsesbeføjelser. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 (6). |
| --- | --- |

(17)

Kommissionen støtter de retningslinjer for PNR-oplysninger, som Organisationen for International Civil Luftfart (ICAO) har udarbejdet. Disse retningslinjer bør derfor udgøre grundlaget for vedtagelsen af de understøttede dataformater for luftfartsselskabernes videregivelse af PNR-oplysninger til medlemsstaterne. For at sikre ensartede betingelser for gennemførelsen af understøttede dataformater og af relevante protokoller, der finder anvendelse på luftfartsselskabernes videregivelse af oplysninger, bør Kommissionen tillægges gennemførelsesbeføjelser. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 (6).

| (18) | Medlemsstaterne bør træffe alle nødvendige foranstaltninger for, at luftfartsselskaberne kan opfylde deres forpligtelser i medfør af dette direktiv. Medlemsstaterne bør fastsætte regler om sanktioner, herunder bødestraf, der er effektive, står i et rimeligt forhold til overtrædelsen og har afskrækkende virkning, over for de luftfartsselskaber, der ikke opfylder deres forpligtelser vedrørende videregivelse af PNR-oplysninger. |
| --- | --- |

(18)

Medlemsstaterne bør træffe alle nødvendige foranstaltninger for, at luftfartsselskaberne kan opfylde deres forpligtelser i medfør af dette direktiv. Medlemsstaterne bør fastsætte regler om sanktioner, herunder bødestraf, der er effektive, står i et rimeligt forhold til overtrædelsen og har afskrækkende virkning, over for de luftfartsselskaber, der ikke opfylder deres forpligtelser vedrørende videregivelse af PNR-oplysninger.

| (19) | Hver medlemsstat bør være ansvarlig for at vurdere de potentielle trusler i forbindelse med terrorhandlinger og grov kriminalitet. |
| --- | --- |

(19)

Hver medlemsstat bør være ansvarlig for at vurdere de potentielle trusler i forbindelse med terrorhandlinger og grov kriminalitet.

| (20) | Under fuld hensyntagen til retten til beskyttelse af personoplysninger og retten til ikkeforskelsbehandling bør der ikke træffes afgørelser, som har byrdefulde retsvirkninger for en person eller i væsentlig grad påvirker denne person, udelukkende som følge af en automatisk behandling af PNR-oplysninger. Desuden bør sådanne afgørelser, jf. chartrets artikel 8 og 21, ikke medføre nogen form for forskelsbehandling såsom forskelsbehandling på grund af en persons køn, race, farve, etniske eller sociale oprindelse, genetiske anlæg, sprog, religion eller tro, politiske eller andre anskuelser, tilhørsforhold til et nationalt mindretal, formueforhold, fødsel, handicap, alder eller seksuelle orientering. Når Kommissionen vurderer anvendelsen af dette direktiv, bør den også tage hensyn til disse principper. |
| --- | --- |

(20)

Under fuld hensyntagen til retten til beskyttelse af personoplysninger og retten til ikkeforskelsbehandling bør der ikke træffes afgørelser, som har byrdefulde retsvirkninger for en person eller i væsentlig grad påvirker denne person, udelukkende som følge af en automatisk behandling af PNR-oplysninger. Desuden bør sådanne afgørelser, jf. chartrets artikel 8 og 21, ikke medføre nogen form for forskelsbehandling såsom forskelsbehandling på grund af en persons køn, race, farve, etniske eller sociale oprindelse, genetiske anlæg, sprog, religion eller tro, politiske eller andre anskuelser, tilhørsforhold til et nationalt mindretal, formueforhold, fødsel, handicap, alder eller seksuelle orientering. Når Kommissionen vurderer anvendelsen af dette direktiv, bør den også tage hensyn til disse principper.

| (21) | Resultatet af behandling af PNR-oplysninger bør under ingen omstændigheder anvendes af medlemsstaterne som grundlag for at omgå deres internationale forpligtelser i medfør af konventionen af 28. juli 1951 om flygtninges retsstilling som ændret ved protokollen af 31. januar 1967, eller anvendes til at nægte asylansøgere sikre og effektive lovlige kanaler til Unionens område med henblik på at udøve deres ret til international beskyttelse. |
| --- | --- |

(21)

Resultatet af behandling af PNR-oplysninger bør under ingen omstændigheder anvendes af medlemsstaterne som grundlag for at omgå deres internationale forpligtelser i medfør af konventionen af 28. juli 1951 om flygtninges retsstilling som ændret ved protokollen af 31. januar 1967, eller anvendes til at nægte asylansøgere sikre og effektive lovlige kanaler til Unionens område med henblik på at udøve deres ret til international beskyttelse.

| (22) | Under fuld hensyntagen til de principper, som Den Europæiske Unions Domstol har opstillet i den seneste relevante retspraksis, bør anvendelsen af dette direktiv sikre fuld respekt for de grundlæggende rettigheder, for retten til privatlivets fred og for proportionalitetsprincippet. Det bør også reelt opfylde målene om nødvendighed og proportionalitet for at tilgodese de almene interesser, der er anerkendt af Unionen, og behovet for at beskytte andres rettigheder og friheder i forbindelse med bekæmpelse af terrorhandlinger og grov kriminalitet. Anvendelsen af dette direktiv bør være behørigt begrundet, og der bør indføres de nødvendige beskyttelsesforanstaltninger for at sikre, at enhver lagring, analyse, videregivelse eller anvendelse af PNR-oplysninger er lovlig. |
| --- | --- |

(22)

Under fuld hensyntagen til de principper, som Den Europæiske Unions Domstol har opstillet i den seneste relevante retspraksis, bør anvendelsen af dette direktiv sikre fuld respekt for de grundlæggende rettigheder, for retten til privatlivets fred og for proportionalitetsprincippet. Det bør også reelt opfylde målene om nødvendighed og proportionalitet for at tilgodese de almene interesser, der er anerkendt af Unionen, og behovet for at beskytte andres rettigheder og friheder i forbindelse med bekæmpelse af terrorhandlinger og grov kriminalitet. Anvendelsen af dette direktiv bør være behørigt begrundet, og der bør indføres de nødvendige beskyttelsesforanstaltninger for at sikre, at enhver lagring, analyse, videregivelse eller anvendelse af PNR-oplysninger er lovlig.

| (23) | Medlemsstaterne bør udveksle de PNR-oplysninger, de modtager, med hinanden og med Europol, når dette anses for nødvendigt for at forebygge, opdage, efterforske eller retsforfølge terrorhandlinger eller grov kriminalitet. Passageroplysningsenheder bør, hvis det er relevant, straks videregive resultatet af behandling af PNR-oplysninger til passageroplysningsenhederne i andre medlemsstater med henblik på videre efterforskning. Bestemmelserne i dette direktiv bør ikke berøre andre EU-instrumenter vedrørende udveksling af oplysninger mellem politi og andre retshåndhævende myndigheder samt judicielle myndigheder, herunder Rådets afgørelse 2009/371/RIA (7) og Rådets rammeafgørelse 2006/960/RIA (8). Sådanne udvekslinger af PNR-oplysninger bør være omfattet af reglerne for det politimæssige og retlige samarbejde og bør ikke underminere det høje beskyttelsesniveau for privatlivets fred og personoplysninger, der kræves af chartret, konvention nr. 108 og EMRK. |
| --- | --- |

(23)

Medlemsstaterne bør udveksle de PNR-oplysninger, de modtager, med hinanden og med Europol, når dette anses for nødvendigt for at forebygge, opdage, efterforske eller retsforfølge terrorhandlinger eller grov kriminalitet. Passageroplysningsenheder bør, hvis det er relevant, straks videregive resultatet af behandling af PNR-oplysninger til passageroplysningsenhederne i andre medlemsstater med henblik på videre efterforskning. Bestemmelserne i dette direktiv bør ikke berøre andre EU-instrumenter vedrørende udveksling af oplysninger mellem politi og andre retshåndhævende myndigheder samt judicielle myndigheder, herunder Rådets afgørelse 2009/371/RIA (7) og Rådets rammeafgørelse 2006/960/RIA (8). Sådanne udvekslinger af PNR-oplysninger bør være omfattet af reglerne for det politimæssige og retlige samarbejde og bør ikke underminere det høje beskyttelsesniveau for privatlivets fred og personoplysninger, der kræves af chartret, konvention nr. 108 og EMRK.

| (24) | En sikker informationsudveksling vedrørende PNR-oplysninger mellem medlemsstaterne bør sikres gennem de eksisterende kanaler for samarbejde mellem medlemsstaternes kompetente myndigheder og navnlig med Europol gennem Europols sikrede informationsudvekslingsnetværksprogram (SIENA). |
| --- | --- |

(24)

En sikker informationsudveksling vedrørende PNR-oplysninger mellem medlemsstaterne bør sikres gennem de eksisterende kanaler for samarbejde mellem medlemsstaternes kompetente myndigheder og navnlig med Europol gennem Europols sikrede informationsudvekslingsnetværksprogram (SIENA).

| (25) | Den periode, hvori PNR-oplysninger skal opbevares, bør være så lang som nødvendig med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet samt stå i et rimeligt forhold hertil. Som følge af oplysningernes art og deres anvendelse er det nødvendigt, at PNR-oplysningerne opbevares i tilstrækkelig lang tid til, at der kan foretages en analyse, og at de kan anvendes i forbindelse med efterforskninger. For at undgå en uforholdsmæssig anvendelse bør PNR-oplysningerne efter en indledende periode anonymiseres ved hjælp af maskering af dataelementer. For at sikre den højeste grad af databeskyttelse bør der efter den nævnte indledende periode kun på meget strenge og begrænsede vilkår gives adgang til de fuldstændige PNR-oplysninger, som muliggør direkte identifikation af den registrerede. |
| --- | --- |

(25)

Den periode, hvori PNR-oplysninger skal opbevares, bør være så lang som nødvendig med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet samt stå i et rimeligt forhold hertil. Som følge af oplysningernes art og deres anvendelse er det nødvendigt, at PNR-oplysningerne opbevares i tilstrækkelig lang tid til, at der kan foretages en analyse, og at de kan anvendes i forbindelse med efterforskninger. For at undgå en uforholdsmæssig anvendelse bør PNR-oplysningerne efter en indledende periode anonymiseres ved hjælp af maskering af dataelementer. For at sikre den højeste grad af databeskyttelse bør der efter den nævnte indledende periode kun på meget strenge og begrænsede vilkår gives adgang til de fuldstændige PNR-oplysninger, som muliggør direkte identifikation af den registrerede.

| (26) | Når konkrete PNR-oplysninger er blevet videregivet til en kompetent myndighed og anvendes i forbindelse med en konkret strafferetlig efterforskning eller retsforfølgning, bør den kompetente myndigheds opbevaring af oplysningerne reguleres af national ret, uanset de dataopbevaringsperioder, der fastsættes i dette direktiv. |
| --- | --- |

(26)

Når konkrete PNR-oplysninger er blevet videregivet til en kompetent myndighed og anvendes i forbindelse med en konkret strafferetlig efterforskning eller retsforfølgning, bør den kompetente myndigheds opbevaring af oplysningerne reguleres af national ret, uanset de dataopbevaringsperioder, der fastsættes i dette direktiv.

| (27) | Passageroplysningsenhedernes og de kompetente myndigheders behandling af PNR-oplysninger i hver medlemsstat bør være omfattet af standardbeskyttelsen af personoplysninger i henhold til national ret i overensstemmelse med Rådets rammeafgørelse 2008/977/RIA (9) og de konkrete krav til databeskyttelse, der er fastsat i dette direktiv. Henvisninger til rammeafgørelse 2008/977/RIA bør læses som henvisninger til gældende lovgivning samt til lovgivning, som må erstatte den. |
| --- | --- |

(27)

Passageroplysningsenhedernes og de kompetente myndigheders behandling af PNR-oplysninger i hver medlemsstat bør være omfattet af standardbeskyttelsen af personoplysninger i henhold til national ret i overensstemmelse med Rådets rammeafgørelse 2008/977/RIA (9) og de konkrete krav til databeskyttelse, der er fastsat i dette direktiv. Henvisninger til rammeafgørelse 2008/977/RIA bør læses som henvisninger til gældende lovgivning samt til lovgivning, som må erstatte den.

| (28) | Under hensyn til retten til beskyttelse af personoplysninger bør de registreredes rettigheder vedrørende behandlingen af deres PNR-oplysninger, herunder retten til indsigt, berigtigelse, sletning og begrænsning samt retten til erstatning og klageadgang, være i overensstemmelse både med rammeafgørelse 2008/977/RIA og med det høje beskyttelsesniveau, der er fastsat i chartret og EMRK. |
| --- | --- |

(28)

Under hensyn til retten til beskyttelse af personoplysninger bør de registreredes rettigheder vedrørende behandlingen af deres PNR-oplysninger, herunder retten til indsigt, berigtigelse, sletning og begrænsning samt retten til erstatning og klageadgang, være i overensstemmelse både med rammeafgørelse 2008/977/RIA og med det høje beskyttelsesniveau, der er fastsat i chartret og EMRK.

| (29) | Under hensyn til passagerernes ret til at blive oplyst om behandlingen af deres personoplysninger bør medlemsstaterne sikre, at passagererne modtager korrekte oplysninger, der er lettilgængelige og letforståelige, om indsamlingen af PNR-oplysninger, videregivelsen heraf til passageroplysningsenheden og deres rettigheder som registrerede. |
| --- | --- |

(29)

Under hensyn til passagerernes ret til at blive oplyst om behandlingen af deres personoplysninger bør medlemsstaterne sikre, at passagererne modtager korrekte oplysninger, der er lettilgængelige og letforståelige, om indsamlingen af PNR-oplysninger, videregivelsen heraf til passageroplysningsenheden og deres rettigheder som registrerede.

| (30) | Dette direktiv berører ikke EU-retten og national ret om princippet om aktindsigt i officielle dokumenter. |
| --- | --- |

(30)

Dette direktiv berører ikke EU-retten og national ret om princippet om aktindsigt i officielle dokumenter.

| (31) | Medlemsstaternes videregivelse af PNR-oplysninger til tredjelande bør kun tillades fra sag til sag og i fuld overensstemmelse med de bestemmelser, som medlemsstaterne har fastlagt i henhold til rammeafgørelse 2008/977/RIA. For at sikre beskyttelsen af personoplysninger bør sådanne videregivelser være omfattet af supplerende krav, der vedrører formålet med videregivelsen. De bør også være omfattet af principperne om nødvendighed og proportionalitet og det høje beskyttelsesniveau, der er fastsat i chartret og i EMRK. |
| --- | --- |

(31)

Medlemsstaternes videregivelse af PNR-oplysninger til tredjelande bør kun tillades fra sag til sag og i fuld overensstemmelse med de bestemmelser, som medlemsstaterne har fastlagt i henhold til rammeafgørelse 2008/977/RIA. For at sikre beskyttelsen af personoplysninger bør sådanne videregivelser være omfattet af supplerende krav, der vedrører formålet med videregivelsen. De bør også være omfattet af principperne om nødvendighed og proportionalitet og det høje beskyttelsesniveau, der er fastsat i chartret og i EMRK.

| (32) | Den nationale tilsynsmyndighed, der er oprettet som led i gennemførelsen af rammeafgørelse 2008/977/RIA, bør også være ansvarlig for at yde rådgivning og føre tilsyn med anvendelsen af de bestemmelser, som medlemsstaterne vedtager i henhold til dette direktiv. |
| --- | --- |

(32)

Den nationale tilsynsmyndighed, der er oprettet som led i gennemførelsen af rammeafgørelse 2008/977/RIA, bør også være ansvarlig for at yde rådgivning og føre tilsyn med anvendelsen af de bestemmelser, som medlemsstaterne vedtager i henhold til dette direktiv.

| (33) | Dette direktiv påvirker ikke medlemsstaternes mulighed for at indføre et system i national ret til indsamling og behandling af PNR-oplysninger fra erhvervsdrivende, der ikke er luftfartsselskaber, f.eks. rejsebureauer og rejsearrangører, der leverer rejserelaterede tjenester, herunder reservation af flyvninger, for hvilke de indsamler og behandler PNR-oplysninger, eller fra andre transportvirksomheder end dem, der er nævnt i dette direktiv, forudsat at sådan national ret er i overensstemmelse med EU-retten. |
| --- | --- |

(33)

Dette direktiv påvirker ikke medlemsstaternes mulighed for at indføre et system i national ret til indsamling og behandling af PNR-oplysninger fra erhvervsdrivende, der ikke er luftfartsselskaber, f.eks. rejsebureauer og rejsearrangører, der leverer rejserelaterede tjenester, herunder reservation af flyvninger, for hvilke de indsamler og behandler PNR-oplysninger, eller fra andre transportvirksomheder end dem, der er nævnt i dette direktiv, forudsat at sådan national ret er i overensstemmelse med EU-retten.

| (34) | Dette direktiv berører ikke de gældende EU-regler for, hvordan grænsekontrollen udføres, eller EU-reglerne vedrørende indrejse på og udrejse fra Unionens område. |
| --- | --- |

(34)

Dette direktiv berører ikke de gældende EU-regler for, hvordan grænsekontrollen udføres, eller EU-reglerne vedrørende indrejse på og udrejse fra Unionens område.

| (35) | Som følge af de retlige og tekniske forskelle mellem nationale bestemmelser om behandling af personoplysninger, herunder PNR-oplysninger, stilles der og vil der blive stillet forskellige krav til luftfartsselskaberne, for så vidt angår de typer oplysninger, der skal videregives, og betingelserne for at videregive dem til de kompetente nationale myndigheder. Disse forskelle kan skade effektivt samarbejde mellem de kompetente nationale myndigheder med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger eller grov kriminalitet. Det er derfor nødvendigt på EU-plan at etablere en fælles retlig ramme for videregivelse og behandling af PNR-oplysninger. |
| --- | --- |

(35)

Som følge af de retlige og tekniske forskelle mellem nationale bestemmelser om behandling af personoplysninger, herunder PNR-oplysninger, stilles der og vil der blive stillet forskellige krav til luftfartsselskaberne, for så vidt angår de typer oplysninger, der skal videregives, og betingelserne for at videregive dem til de kompetente nationale myndigheder. Disse forskelle kan skade effektivt samarbejde mellem de kompetente nationale myndigheder med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger eller grov kriminalitet. Det er derfor nødvendigt på EU-plan at etablere en fælles retlig ramme for videregivelse og behandling af PNR-oplysninger.

| (36) | Dette direktiv overholder de grundlæggende rettigheder og principperne i chartret, navnlig retten til beskyttelse af personoplysninger, retten til privatlivets fred og retten til ikkeforskelsbehandling, jf. chartrets artikel 8, 7 og 21; det bør derfor gennemføres i overensstemmelse hermed. Dette direktiv er foreneligt med principperne om databeskyttelse, og dets bestemmelser er i overensstemmelse med rammeafgørelse 2008/977/RIA. For at sikre at proportionalitetsprincippet overholdes, fastsætter dette direktiv desuden i forbindelse med bestemte spørgsmål strengere regler for databeskyttelse end rammeafgørelse 2008/977/RIA. |
| --- | --- |

(36)

Dette direktiv overholder de grundlæggende rettigheder og principperne i chartret, navnlig retten til beskyttelse af personoplysninger, retten til privatlivets fred og retten til ikkeforskelsbehandling, jf. chartrets artikel 8, 7 og 21; det bør derfor gennemføres i overensstemmelse hermed. Dette direktiv er foreneligt med principperne om databeskyttelse, og dets bestemmelser er i overensstemmelse med rammeafgørelse 2008/977/RIA. For at sikre at proportionalitetsprincippet overholdes, fastsætter dette direktiv desuden i forbindelse med bestemte spørgsmål strengere regler for databeskyttelse end rammeafgørelse 2008/977/RIA.

| (37) | Dette direktivs anvendelsesområde er så begrænset som muligt, da: det fastsætter, at PNR-oplysninger i passageroplysningsenhederne skal opbevares i en periode på højst fem år, hvorefter oplysningerne bør slettes; det fastsætter, at oplysningerne skal anonymiseres ved hjælp af maskering af dataelementer efter en indledende periode på seks måneder; og det forbyder indsamling og anvendelse af følsomme oplysninger. For at sikre et effektivt og højt databeskyttelsesniveau skal medlemsstaterne sikre, at en uafhængig national tilsynsmyndighed og navnlig en databeskyttelsesansvarlig er ansvarlig for at rådgive om og føre tilsyn med, hvordan PNR-oplysninger behandles. Al behandling af PNR-oplysninger bør registreres eller dokumenteres med henblik på kontrol af dens lovlighed, egenkontrol og at sikre oplysningernes integritet og sikre behandling. Medlemsstaterne bør desuden sikre, at passagererne er klart og præcist oplyst om indsamlingen af PNR-oplysninger og om deres rettigheder. |
| --- | --- |

(37)

Dette direktivs anvendelsesområde er så begrænset som muligt, da: det fastsætter, at PNR-oplysninger i passageroplysningsenhederne skal opbevares i en periode på højst fem år, hvorefter oplysningerne bør slettes; det fastsætter, at oplysningerne skal anonymiseres ved hjælp af maskering af dataelementer efter en indledende periode på seks måneder; og det forbyder indsamling og anvendelse af følsomme oplysninger. For at sikre et effektivt og højt databeskyttelsesniveau skal medlemsstaterne sikre, at en uafhængig national tilsynsmyndighed og navnlig en databeskyttelsesansvarlig er ansvarlig for at rådgive om og føre tilsyn med, hvordan PNR-oplysninger behandles. Al behandling af PNR-oplysninger bør registreres eller dokumenteres med henblik på kontrol af dens lovlighed, egenkontrol og at sikre oplysningernes integritet og sikre behandling. Medlemsstaterne bør desuden sikre, at passagererne er klart og præcist oplyst om indsamlingen af PNR-oplysninger og om deres rettigheder.

| (38) | Målene for dette direktiv, nemlig luftfartsselskabers videregivelse af PNR-oplysninger og behandling af disse oplysninger med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går dette direktiv ikke videre, end hvad der er nødvendigt for at nå disse mål. |
| --- | --- |

(38)

Målene for dette direktiv, nemlig luftfartsselskabers videregivelse af PNR-oplysninger og behandling af disse oplysninger med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går dette direktiv ikke videre, end hvad der er nødvendigt for at nå disse mål.

| (39) | I medfør af artikel 3 i protokol nr. 21 om Det Forenede Kongeriges og Irlands stilling, for så vidt angår området med frihed, sikkerhed og retfærdighed, der er knyttet som bilag til traktaten om Den Europæiske Union og traktaten om Den Europæiske Unions funktionsmåde, har disse medlemsstater meddelt, at de ønsker at deltage i vedtagelsen og anvendelsen af dette direktiv. |
| --- | --- |

(39)

I medfør af artikel 3 i protokol nr. 21 om Det Forenede Kongeriges og Irlands stilling, for så vidt angår området med frihed, sikkerhed og retfærdighed, der er knyttet som bilag til traktaten om Den Europæiske Union og traktaten om Den Europæiske Unions funktionsmåde, har disse medlemsstater meddelt, at de ønsker at deltage i vedtagelsen og anvendelsen af dette direktiv.

| (40) | I medfør af artikel 1 og 2 i protokol nr. 22 om Danmarks stilling, der er knyttet som bilag til traktaten om Den Europæiske Union og traktaten om Den Europæiske Unions funktionsmåde, deltager Danmark ikke i vedtagelsen af dette direktiv, som ikke er bindende for og ikke finder anvendelse i Danmark. |
| --- | --- |

(40)

I medfør af artikel 1 og 2 i protokol nr. 22 om Danmarks stilling, der er knyttet som bilag til traktaten om Den Europæiske Union og traktaten om Den Europæiske Unions funktionsmåde, deltager Danmark ikke i vedtagelsen af dette direktiv, som ikke er bindende for og ikke finder anvendelse i Danmark.

| (41) | Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 28, stk. 2, i Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 (10) og afgav en udtalelse den 25. marts 2011 — |
| --- | --- |

(41)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 28, stk. 2, i Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 (10) og afgav en udtalelse den 25. marts 2011 —

VEDTAGET DETTE DIREKTIV:

KAPITEL I

Generelle bestemmelser

Artikel 1

Genstand og anvendelsesområde

1.   Ved dette direktiv fastsættes bestemmelser om:

| a) | luftfartsselskabers videregivelse af passagerlisteoplysninger (PNR-oplysninger) om passagerer på flyvninger uden for EU |
| --- | --- |

a)

luftfartsselskabers videregivelse af passagerlisteoplysninger (PNR-oplysninger) om passagerer på flyvninger uden for EU

| b) | behandlingen af de i litra a) omhandlede oplysninger, herunder medlemsstaters indsamling, anvendelse og opbevaring heraf samt medlemsstaters indbyrdes udveksling heraf. |
| --- | --- |

b)

behandlingen af de i litra a) omhandlede oplysninger, herunder medlemsstaters indsamling, anvendelse og opbevaring heraf samt medlemsstaters indbyrdes udveksling heraf.

2.   PNR-oplysninger, der indsamles i overensstemmelse med dette direktiv, må kun behandles med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet, jf. artikel 6, stk. 2, litra a), b) og c).

Artikel 2

Anvendelse af dette direktiv på flyvninger inden for EU

1.   Hvis en medlemsstat beslutter at anvende dette direktiv på flyvninger inden for EU, giver den Kommissionen skriftlig meddelelse herom. En medlemsstat kan når som helst give eller tilbagekalde en sådan meddelelse. Kommissionen offentliggør meddelelsen og en eventuel tilbagekaldelse af den i Den Europæiske Unions Tidende.

2.   Når en meddelelse omhandlet i stk. 1 er givet, finder alle direktivets bestemmelser anvendelse for flyvninger inden for EU, som var de flyvninger uden for EU, og for PNR-oplysninger fra flyvninger inden for EU, som var de PNR-oplysninger fra flyvninger uden for EU.

3.   En medlemsstat kan beslutte at anvende dette direktiv udelukkende på udvalgte flyvninger inden for EU. Når medlemsstaten træffer en sådan beslutning, vælger den samtidig de flyvninger, som den finder nødvendige med henblik på at nå målene i dette direktiv. Medlemsstaten kan når som helst beslutte at ændre udvælgelsen af flyvninger inden for EU.

Artikel 3

Definitioner

I dette direktiv forstås ved:

1)   »luftfartsselskab«: en lufttransportvirksomhed med en gyldig licens eller lignende, der tillader det at udføre luftbefordring af passagerer

»luftfartsselskab«

2)   »flyvning uden for EU«: enhver ruteflyvning eller ikkeruteflyvning, der foretages af et luftfartsselskab, som flyver fra et tredjeland og med planlagt landing på en medlemsstats område, eller som flyver fra en medlemsstats område og med planlagt landing i et tredjeland, herunder i begge tilfælde flyvninger med mellemlandinger på medlemsstaters eller tredjelandes område

»flyvning uden for EU«

3)   »flyvning inden for EU«: enhver ruteflyvning eller ikkeruteflyvning, som foretages af et luftfartsselskab, som flyver fra en medlemsstats område og med planlagt landing på en eller flere andre medlemsstaters område og uden mellemlandinger på et tredjelands område

»flyvning inden for EU«

4)   »passager«: enhver person, herunder personer i transfer eller transit, undtagen besætningsmedlemmer, der med luftfartsselskabets samtykke befordres eller skal befordres i et luftfartøj, idet et sådant samtykke anskueliggøres ved, at denne person er registreret i passagerlisten

»passager«

5)   »passagerliste« eller »PNR«: en liste over den enkelte passagers rejse, som omfatter alle nødvendige oplysninger til, at reservationer kan behandles og kontrolleres af de luftfartsselskaber, der foretager reservationen, og de deltagende luftfartsselskaber for hver rejse, der reserveres af eller på vegne af enhver person, uanset om listen findes i reservationssystemer, afgangskontrolsystemer (der anvendes til kontrol af passagerer ved ombordstigning på luftfartøjer) eller tilsvarende systemer, der omfatter de samme funktionaliteter

»passagerliste« eller »PNR«

6)   »reservationssystem«: luftfartsselskabets interne system, hvori PNR-oplysninger indsamles med henblik på behandling af reservationer

»reservationssystem«

7)   »»push«-metoden«: den metode, hvorved luftfartsselskaber videregiver de PNR-oplysninger, der er opført på listen i bilag I, til den anmodende myndigheds database

»»push«-metoden«

8)   »terrorhandlinger«: de overtrædelser i henhold til national ret, der er omhandlet i artikel 1-4 i rammeafgørelse 2002/475/RIA

»terrorhandlinger«

9)   »grov kriminalitet«: de overtrædelser, der er opført på listen i bilag II, og som kan straffes med frihedsstraf eller en anden frihedsberøvende foranstaltning af en maksimal varighed på mindst tre år i henhold til en medlemsstats nationale ret

»grov kriminalitet«

10)   »at anonymisere ved hjælp af maskering af dataelementer«: at gøre de dataelementer, der kan tjene til direkte at identificere den registrerede, utilgængelige for en bruger.

»at anonymisere ved hjælp af maskering af dataelementer«

KAPITEL II

Medlemsstaternes ansvar

Artikel 4

Passageroplysningsenhed

1.   Hver medlemsstat opretter eller udpeger en myndighed med kompetence til at forebygge, opdage, efterforske eller retsforfølge terrorhandlinger og grov kriminalitet eller en afdeling i en sådan myndighed, der skal fungere som »passageroplysningsenhed«.

2.   Passageroplysningsenheden er ansvarlig for:

| a) | at indsamle PNR-oplysninger fra luftfartsselskaber, at lagre og behandle disse oplysninger og at videregive disse oplysninger eller resultatet af behandlingen af dem til de i artikel 7 omhandlede kompetente myndigheder |
| --- | --- |

a)

at indsamle PNR-oplysninger fra luftfartsselskaber, at lagre og behandle disse oplysninger og at videregive disse oplysninger eller resultatet af behandlingen af dem til de i artikel 7 omhandlede kompetente myndigheder

| b) | at udveksle både PNR-oplysninger og resultatet af behandlingen af disse oplysninger med andre medlemsstaters passageroplysningsenheder og med Europol, jf. artikel 9 og 10. |
| --- | --- |

b)

at udveksle både PNR-oplysninger og resultatet af behandlingen af disse oplysninger med andre medlemsstaters passageroplysningsenheder og med Europol, jf. artikel 9 og 10.

3.   Passageroplysningsenhedens personale kan være udstationeret fra kompetente myndigheder. Medlemsstaterne tildeler passageroplysningsenhederne tilstrækkelige ressourcer til, at de kan udføre deres opgaver.

4.   To eller flere medlemsstater (de deltagende medlemsstater) kan oprette eller udpege en enkelt myndighed til at fungere som deres passageroplysningsenhed. En sådan passageroplysningsenhed oprettes i en af de deltagende medlemsstater og anses for at være den nationale passageroplysningsenhed for alle de deltagende medlemsstater. De deltagende medlemsstater vedtager i fællesskab de nærmere regler for driften af passageroplysningsenheden og overholder de krav, der er fastsat i dette direktiv.

5.   Inden for én måned fra oprettelsen af dens passageroplysningsenhed giver hver medlemsstat Kommissionen meddelelse herom og medlemsstaten kan på et hvilket som helst tidspunkt ændre sin meddelelse. Kommissionen offentliggør meddelelsen og eventuelle ændringer heraf i Den Europæiske Unions Tidende.

Artikel 5

Databeskyttelsesansvarlig i passageroplysningsenheden

1.   Passageroplysningsenheden udpeger en databeskyttelsesansvarlig, der er ansvarlig for at føre tilsyn med behandlingen af PNR-oplysninger og at gennemføre relevante beskyttelsesforanstaltninger.

2.   Medlemsstaterne tildeler databeskyttelsesansvarlige de midler, der er nødvendige for, at de på effektiv og uafhængig vis kan udføre deres hverv i overensstemmelse med denne artikel.

3.   Medlemsstaterne sikrer, at en registreret har ret til at kontakte den databeskyttelsesansvarlige som et enkelt kontaktpunkt om alle spørgsmål i tilknytning til behandlingen af denne registreredes PNR-oplysninger.

Artikel 6

Behandling af PNR-oplysninger

1.   De PNR-oplysninger, som luftfartsselskaberne videregiver, indsamles af passageroplysningsenheden i den relevante medlemsstat, jf. artikel 8. Hvis de PNR-oplysninger, som luftfartsselskaberne videregiver, indeholder andre oplysninger end dem, der er opført på listen i bilag I, skal passageroplysningsenheden straks og permanent ved modtagelsen slette sådanne oplysninger.

2.   Passageroplysningsenheden må kun behandle PNR-oplysninger med henblik på følgende:

| a) | at foretage en vurdering af passagerer forud for deres planlagte ankomst til eller afrejse fra medlemsstaten for at identificere personer, som det kræves, at de i artikel 7 omhandlede kompetente myndigheder og, hvis det er relevant, Europol i overensstemmelse med artikel 10 undersøger nærmere, idet sådanne personer kan være involveret i en terrorhandling eller grov kriminalitet. |
| --- | --- |

a)

at foretage en vurdering af passagerer forud for deres planlagte ankomst til eller afrejse fra medlemsstaten for at identificere personer, som det kræves, at de i artikel 7 omhandlede kompetente myndigheder og, hvis det er relevant, Europol i overensstemmelse med artikel 10 undersøger nærmere, idet sådanne personer kan være involveret i en terrorhandling eller grov kriminalitet.

| b) | fra sag til sag at reagere på en behørigt begrundet anmodning baseret på tilstrækkelige grunde fra de kompetente myndigheder om at videregive og behandle PNR-oplysninger i konkrete sager med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger eller grov kriminalitet og at forelægge resultaterne af denne behandling for de kompetente myndigheder eller, hvis det er relevant, for Europol, og |
| --- | --- |

b)

fra sag til sag at reagere på en behørigt begrundet anmodning baseret på tilstrækkelige grunde fra de kompetente myndigheder om at videregive og behandle PNR-oplysninger i konkrete sager med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger eller grov kriminalitet og at forelægge resultaterne af denne behandling for de kompetente myndigheder eller, hvis det er relevant, for Europol, og

| c) | at analysere PNR-oplysninger med henblik på at ajourføre eller fastsætte nye kriterier, der skal anvendes i forbindelse med vurderingerne, der foretages i medfør af stk. 3, litra b), med henblik på at identificere personer, der kan være involveret i en terrorhandling eller grov kriminalitet. |
| --- | --- |

c)

at analysere PNR-oplysninger med henblik på at ajourføre eller fastsætte nye kriterier, der skal anvendes i forbindelse med vurderingerne, der foretages i medfør af stk. 3, litra b), med henblik på at identificere personer, der kan være involveret i en terrorhandling eller grov kriminalitet.

3.   Når den i stk. 2, litra a), omhandlede vurdering foretages, kan passageroplysningsenheden:

| a) | sammenholde PNR-oplysninger med oplysninger i databaser, der er relevante med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet, herunder databaser vedrørende personer eller genstande, der eftersøges eller er indberettet, i overensstemmelse med de EU-regler og internationale eller nationale regler, som finder anvendelse på sådanne databaser, eller |
| --- | --- |

a)

sammenholde PNR-oplysninger med oplysninger i databaser, der er relevante med henblik på at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet, herunder databaser vedrørende personer eller genstande, der eftersøges eller er indberettet, i overensstemmelse med de EU-regler og internationale eller nationale regler, som finder anvendelse på sådanne databaser, eller

| b) | behandle PNR-oplysninger efter forud fastsatte kriterier. |
| --- | --- |

b)

behandle PNR-oplysninger efter forud fastsatte kriterier.

4.   Enhver vurdering af passagerer forud for deres planlagte ankomst til eller afrejse fra medlemsstaten, der foretages i medfør af stk. 3, litra b), efter forud fastsatte kriterier, udføres på en ikkediskriminerende måde. Disse forud fastsatte kriterier skal være målrettede, stå i rimeligt forhold til målet og være konkrete. Medlemsstaterne sikrer, at disse kriterier fastsættes og regelmæssigt evalueres af passageroplysningsenheden i samarbejde med de i artikel 7 omhandlede kompetente myndigheder. Kriterierne må under ingen omstændigheder være baseret på en persons race eller etniske oprindelse, politiske anskuelser, religiøse eller filosofiske overbevisning, medlemskab af en fagforening, sundhed, seksualitet eller seksuel orientering.

5.   Medlemsstaterne sikrer, at alle hit som følge af den automatiske behandling af PNR-oplysninger, der foretages i medfør af stk. 2, litra a), gennemgås individuelt og manuelt for at kontrollere, om de i artikel 7 omhandlede kompetente myndigheder skal iværksætte tiltag i henhold til national ret.

6.   En medlemsstats passageroplysningsenhed videregiver de i overensstemmelse med stk. 2, litra a), identificerede personers PNR-oplysninger eller resultaterne af behandling af disse oplysninger til de i artikel 7 omhandlede kompetente myndigheder i den samme medlemsstat med henblik på nærmere undersøgelse. Sådanne videregivelser af oplysninger må kun ske fra sag til sag og, i tilfælde af automatisk behandling af PNR-oplysninger, efter en individuel og manuel gennemgang.

7.   Medlemsstaterne sikrer, at den databeskyttelsesansvarlige har adgang til alle de oplysninger, som passageroplysningsenheden behandler. Hvis den databeskyttelsesansvarlige finder, at behandlingen af enhver form for oplysninger ikke er sket lovligt, kan den databeskyttelsesansvarlige forelægge spørgsmålet for den nationale tilsynsmyndighed.

8.   Passageroplysningsenhedens lagring, behandling og analyse af PNR-oplysninger finder udelukkende sted på et sikkert sted eller sikre steder på medlemsstaternes område.

9.   Konsekvenserne af vurderingerne af passagerer, jf. denne artikels stk. 2, litra a), må ikke anfægte retten til indrejse på den pågældende medlemsstats område for personer, der har ret til fri bevægelighed i henhold til EU-retten, jf. Europa-Parlamentets og Rådets direktiv 2004/38/EF (11). Endvidere skal konsekvenserne af sådanne vurderinger, når vurderingerne foretages i forbindelse med flyvninger inden for EU mellem medlemsstater, som er underlagt Europa-Parlamentets og Rådets forordning (EF) nr. 562/2006 (12), være i overensstemmelse med nævnte forordning.

Artikel 7

Kompetente myndigheder

1.   Hver medlemsstat vedtager en liste over kompetente myndigheder, der er berettigede til at anmode om eller modtage PNR-oplysninger eller resultatet af behandling af disse oplysninger fra passageroplysningsenhederne for at undersøge disse oplysninger nærmere eller iværksætte passende tiltag for at forebygge, opdage, efterforske og retsforfølge terrorhandlinger eller grov kriminalitet.

2.   De i stk. 1 omhandlede myndigheder skal være myndigheder, der har kompetence til at forebygge, opdage, efterforske eller retsforfølge terrorhandlinger eller grov kriminalitet.

3.   Med henblik på artikel 9, stk. 3, meddeler hver medlemsstat Kommissionen listen over sine kompetente myndigheder senest den 25. maj 2017 og medlemsstaten kan når som helst ændre sin meddelelse. Kommissionen offentliggør meddelelsen og eventuelle ændringer heraf i Den Europæiske Unions Tidende.

4.   Medlemsstaternes kompetente myndigheder må kun foretage yderligere behandling af PNR-oplysninger og resultatet af behandling af PNR-oplysninger, der modtages fra passageroplysningsenheden, med henblik på det specifikke formål at forebygge, opdage, efterforske eller retsforfølge terrorhandlinger eller grov kriminalitet.

5.   Stk. 4 berører ikke de nationale retshåndhævende eller retlige myndigheders beføjelser, når der opdages andre overtrædelser eller tegn herpå under en retshåndhævende aktion foranlediget af en sådan databehandling.

6.   De kompetente myndigheder må ikke træffe afgørelser, som har byrdefulde retsvirkninger for en person eller i væsentlig grad påvirker en person, udelukkende som følge af automatisk behandling af PNR-oplysninger. Sådanne afgørelser må ikke træffes på grundlag af en persons race eller etniske oprindelse, politiske anskuelser, religiøse eller filosofiske overbevisning, medlemskab af en fagforening, sundhed, seksualitet eller seksuel orientering.

Artikel 8

Luftfartsselskabernes forpligtelser vedrørende videregivelse af oplysninger

1.   Medlemsstaterne vedtager alle nødvendige foranstaltninger for at sikre, at luftfartsselskaber ved hjælp af »push«-metoden videregiver de PNR-oplysninger, som er opført på listen i bilag I, i det omfang de allerede har indsamlet disse oplysninger som led i deres normale forretningsaktiviteter, til databasen for passageroplysningsenheden i den medlemsstat, på hvis område flyet lander, eller fra hvis område det afgår. Hvis der for en flyvning er fælles rutenummer (»code sharing«) mellem et eller flere luftfartsselskaber, er det luftfartsselskab, der står for flyvningen, forpligtet til at videregive PNR-oplysninger om alle passagerer. Hvis der under en flyvning uden for EU mellemlandes en eller flere gange i medlemsstaternes lufthavne, videregiver luftfartsselskabet PNR-oplysningerne om alle passagerer til passageroplysningsenhederne i alle de berørte medlemsstater. Dette gælder også, når der under en flyvning inden for EU mellemlandes en eller flere gange i forskellige medlemsstaters lufthavne, men kun i forbindelse med medlemsstater, som indsamler PNR-oplysninger fra flyvninger inden for EU.

2.   Hvis luftfartsselskaberne har indsamlet forhåndsoplysninger om passagererne (API-oplysninger), jf. bilag I, punkt 18, men ikke opbevarer disse oplysninger ved hjælp af de samme tekniske midler som andre PNR-oplysninger, vedtager medlemsstaterne de nødvendige foranstaltninger for at sikre, at luftfartsselskaberne ved hjælp af »push«-metoden også videregiver disse oplysninger til passageroplysningsenheden i de i stk. 1 omhandlede medlemsstater. Ved en sådan videregivelse finder alle bestemmelserne i dette direktiv anvendelse for disse API-oplysninger.

3.   Luftfartsselskaberne videregiver PNR-oplysninger elektronisk ved brug af de fælles protokoller og understøttede dataformater, der vedtages efter undersøgelsesproceduren i artikel 17, stk. 2, eller, i tilfælde af tekniske problemer, ved brug af et hvilket som helst andet hensigtsmæssigt middel, der sikrer et passende datasikkerhedsniveau:

| a) | 24-48 timer før den planlagte flyafgang, og |
| --- | --- |

a)

24-48 timer før den planlagte flyafgang, og

| b) | straks efter, at luftfartøjets døre er blevet lukket, dvs. når passagerne er gået om bord i luftfartøjet med henblik på afrejse, og det ikke længere er muligt for passagerer at gå om bord i luftfartøjet eller forlade det. |
| --- | --- |

b)

straks efter, at luftfartøjets døre er blevet lukket, dvs. når passagerne er gået om bord i luftfartøjet med henblik på afrejse, og det ikke længere er muligt for passagerer at gå om bord i luftfartøjet eller forlade det.

4.   Medlemsstaterne tillader, at luftfartsselskaberne kun videregiver de i stk. 3, litra b), omhandlede oplysninger, når de i nævnte stykkes litra a) omhandlede videregivelser ajourføres.

5.   Når det er nødvendigt at få adgang til PNR-oplysninger for at reagere på en konkret og reel trussel i forbindelse med terrorhandlinger eller grov kriminalitet, videregiver luftfartsselskaberne fra sag til sag PNR-oplysninger på andre tidspunkter end de, der er nævnt i stk. 3, på anmodning af en passageroplysningsenhed i henhold til national ret.

Artikel 9

Udveksling af oplysninger mellem medlemsstaterne

1.   Hvad angår personer, der identificeres af en passageroplysningsenhed, jf. artikel 6, stk. 2, sikrer medlemsstaterne, at alle relevante og nødvendige PNR-oplysninger eller resultatet af behandling af disse oplysninger videregives af denne passageroplysningsenhed til de tilsvarende passageroplysningsenheder i de andre medlemsstater. De modtagende medlemsstaters passageroplysningsenheder videregiver i overensstemmelse med artikel 6, stk. 6, de oplysninger, de har modtaget, til deres kompetente myndigheder.

2.   En medlemsstats passageroplysningsenhed har ret til om nødvendigt at anmode en hvilken som helst anden medlemsstats passageroplysningsenhed om PNR-oplysninger, der opbevares i sidstnævntes database, og som endnu ikke er blevet anonymiseret ved hjælp af maskering af dataelementer, jf. artikel 12, stk. 2, og om nødvendigt også om resultatet af enhver behandling af disse oplysninger, hvis den allerede foreligger, jf. artikel 6, stk. 2, litra a). En sådan anmodning skal være behørigt begrundet. Den kan baseres på et dataelement eller en kombination af sådanne elementer afhængigt af, hvad den anmodende passageroplysningsenhed anser for nødvendigt med henblik på i en konkret sag at forebygge, opdage, efterforske eller retsforfølge terrorhandlinger eller grov kriminalitet. Passageroplysningsenhederne fremlægger de oplysninger, der anmodes om, så hurtigt som praktisk muligt. I tilfælde af at de oplysninger, der anmodes om, er blevet anonymiseret ved hjælp af maskering af dataelementer, jf. artikel 12, stk. 2, fremlægger passageroplysningsenheden kun de fuldstændige PNR-oplysninger, hvis der er rimelig grund til at tro, at det er nødvendigt med henblik på det i artikel 6, stk. 2, litra b), omhandlede formål, og kun hvis den har fået tilladelse hertil af en i artikel 12, stk. 3, litra b), omhandlet kompetent myndighed.

3.   En medlemsstats kompetente myndigheder må kun direkte anmode en anden medlemsstats passageroplysningsenhed om PNR-oplysninger, der opbevares i sidstnævntes database, hvis det er nødvendigt i hastende tilfælde og på de betingelser, der er fastsat i stk. 2. De kompetente myndigheders anmodninger skal begrundes. En kopi af anmodningen skal altid sendes til den anmodende medlemsstats passageroplysningsenhed. I alle andre tilfælde lader de kompetente myndigheder deres anmodninger gå via deres egen medlemsstats passageroplysningsenhed.

4.   Når det er nødvendigt at få adgang til PNR-oplysninger for at reagere på en konkret og reel trussel i forbindelse med terrorhandlinger eller grov kriminalitet, har en medlemsstats passageroplysningsenhed undtagelsesvis ret til at anmode en anden medlemsstats passageroplysningsenhed om at indhente PNR-oplysninger i overensstemmelse med artikel 8, stk. 5, og fremlægge dem for den anmodende passageroplysningsenhed.

5.   Udveksling af oplysninger i medfør af denne artikel kan finde sted ved brug af alle eksisterende kanaler til brug for samarbejde mellem de kompetente myndigheder i medlemsstaterne. Det sprog, der anvendes i anmodningen eller ved udvekslingen af oplysninger, skal være det, der kræves i forbindelse med den anvendte kanal. Når medlemsstaterne giver Kommissionen meddelelse, jf. artikel 4, stk. 5, underretter de den også om de nærmere oplysninger vedrørende de kontaktpunkter, hvortil der kan sendes anmodninger i hastende tilfælde. Kommissionen underretter medlemsstaterne om sådanne nærmere oplysninger.

Artikel 10

Betingelser for Europols adgang til PNR-oplysninger

1.   Europol er inden for rammerne af sine kompetencer og med henblik på at udføre sine opgaver berettiget til at anmode om PNR-oplysninger eller resultatet af behandling af PNR-oplysninger fra medlemsstaters passageroplysningsenheder.

2.   Europol kan fra sag til sag fremsende en behørigt begrundet elektronisk anmodning til passageroplysningsenheden i enhver medlemsstat gennem den nationale Europolenhed om videregivelse af konkrete PNR-oplysninger eller resultatet af behandling af disse oplysninger. Europol kan fremsende en sådan anmodning, når det er strengt nødvendigt for at støtte og styrke medlemsstaternes tiltag med henblik på at forebygge, opdage eller efterforske en konkret terrorhandling eller grov kriminalitet, for så vidt den pågældende handling eller kriminalitet er omfattet af Europols kompetence i henhold til afgørelse 2009/371/RIA. Den nævnte anmodning skal indeholde rimelige grunde, på baggrund af hvilke Europol finder, at videregivelsen af PNR-oplysninger eller resultatet af behandling af PNR-oplysninger i væsentlig grad vil bidrage til at forebygge, opdage eller efterforske den pågældende strafbare handling.

3.   Europol underretter den databeskyttelsesansvarlige, som er udpeget i overensstemmelse med artikel 28 i afgørelse 2009/371/RIA, om alle udvekslinger af oplysninger i medfør af denne artikel.

4.   Udvekslingen af oplysninger i medfør af denne artikel finder sted ved brug af SIENA og i overensstemmelse med afgørelse 2009/371/RIA. Det sprog, der anvendes i anmodningen og ved udvekslingen af oplysninger, skal være det, der kræves i forbindelse med SIENA.

Artikel 11

Videregivelse af oplysninger til tredjelande

1.   En medlemsstat må kun videregive PNR-oplysninger og resultatet af behandling af sådanne oplysninger, der er lagret af passageroplysningsenheden i overensstemmelse med artikel 12, til et tredjeland fra sag til sag, og hvis:

| a) | betingelserne i artikel 13 i rammeafgørelse 2008/977/RIA er opfyldt |
| --- | --- |

a)

betingelserne i artikel 13 i rammeafgørelse 2008/977/RIA er opfyldt

| b) | videregivelsen er nødvendig med henblik på de i artikel 1, stk. 2, omhandlede formål med dette direktiv |
| --- | --- |

b)

videregivelsen er nødvendig med henblik på de i artikel 1, stk. 2, omhandlede formål med dette direktiv

| c) | tredjelandet accepterer kun at videregive oplysningerne til et andet tredjeland, hvis det er strengt nødvendigt med henblik på de i artikel 1, stk. 2, omhandlede formål med dette direktiv, og udelukkende med denne medlemsstats udtrykkelige samtykke, og |
| --- | --- |

c)

tredjelandet accepterer kun at videregive oplysningerne til et andet tredjeland, hvis det er strengt nødvendigt med henblik på de i artikel 1, stk. 2, omhandlede formål med dette direktiv, og udelukkende med denne medlemsstats udtrykkelige samtykke, og

| d) | de samme betingelser som dem, der er fastsat i artikel 9, stk. 2, er opfyldt. |
| --- | --- |

d)

de samme betingelser som dem, der er fastsat i artikel 9, stk. 2, er opfyldt.

2.   Uanset artikel 13, stk. 2, i rammeafgørelse 2008/977/RIA tillades videregivelse af PNR-oplysninger uden forudgående samtykke fra den medlemsstat, fra hvem oplysningerne blev indhentet, under ekstraordinære omstændigheder, og forudsat at:

| a) | en sådan videregivelse er afgørende for at kunne reagere på en konkret og reel trussel i forbindelse med terrorhandlinger eller grov kriminalitet i en medlemsstat eller et tredjeland, og |
| --- | --- |

a)

en sådan videregivelse er afgørende for at kunne reagere på en konkret og reel trussel i forbindelse med terrorhandlinger eller grov kriminalitet i en medlemsstat eller et tredjeland, og

| b) | forudgående samtykke ikke kan indhentes i tide. |
| --- | --- |

b)

forudgående samtykke ikke kan indhentes i tide.

Den myndighed, der er ansvarlig for at give sit samtykke, underrettes hurtigst muligt, og videregivelsen registreres behørigt og underkastes eventuelt en efterfølgende kontrol.

3.   Medlemsstaterne må kun videregive PNR-oplysninger til kompetente myndigheder i tredjelande, hvis det sker på betingelser, der er forenelige med dette direktiv, og kun efter at have forvisset sig om, at modtagerne har til hensigt at anvende PNR-oplysningerne til formål, der er forenelige med disse betingelser og beskyttelsesforanstaltninger.

4.   Den databeskyttelsesansvarlige i passageroplysningsenheden i den medlemsstat, som har videregivet PNR-oplysningerne, underrettes hver gang medlemsstaten videregiver PNR-oplysninger i medfør af denne artikel.

Artikel 12

Dataopbevaringsperiode og anonymisering

1.   Medlemsstaterne sikrer, at PNR-oplysninger, som luftfartsselskaberne videregiver til passageroplysningsenheden, opbevares i en database hos passageroplysningsenheden i en periode på fem år efter videregivelsen til passageroplysningsenheden i den medlemsstat, på hvis område luftfartøjet lander eller afgår.

2.   Ved udløbet af den i stk. 1 omhandlede seksmånedersperiode fra videregivelsen af PNR-oplysningerne, anonymiseres alle PNR-oplysninger ved hjælp af maskering af følgende dataelementer, der kan tjene til direkte at identificere de passagerer, som PNR-oplysningerne vedrører:

| a) | navn(e), herunder andre passagerers navne på passagerlisten og antal rejsende på passagerlisten, der rejser sammen |
| --- | --- |

a)

navn(e), herunder andre passagerers navne på passagerlisten og antal rejsende på passagerlisten, der rejser sammen

| b) | adresse og kontaktoplysninger |
| --- | --- |

b)

adresse og kontaktoplysninger

| c) | alle former for betalingsoplysninger, herunder faktureringsadresse, for så vidt de indeholder enhver form for oplysning, der kan tjene til direkte at identificere de passagerer, som passagerlisten vedrører, eller alle andre personer |
| --- | --- |

c)

alle former for betalingsoplysninger, herunder faktureringsadresse, for så vidt de indeholder enhver form for oplysning, der kan tjene til direkte at identificere de passagerer, som passagerlisten vedrører, eller alle andre personer

| d) | oplysninger om bonusprogrammer |
| --- | --- |

d)

oplysninger om bonusprogrammer

| e) | generelle bemærkninger, for så vidt de indeholder enhver form for oplysning, der kan tjene til direkte at identificere de passagerer, som passagerlisten vedrører, og |
| --- | --- |

e)

generelle bemærkninger, for så vidt de indeholder enhver form for oplysning, der kan tjene til direkte at identificere de passagerer, som passagerlisten vedrører, og

| f) | eventuelle API-oplysninger, der er blevet indsamlet. |
| --- | --- |

f)

eventuelle API-oplysninger, der er blevet indsamlet.

3.   Ved udløbet af den i stk. 2 omhandlede seksmånedersperiode må videregivelse af de fuldstændige PNR-oplysninger kun tillades, når det er:

| a) | antaget med rimelig grund, at det er nødvendigt med henblik på de i artikel 6, stk. 2, litra b), omhandlede formål, og |
| --- | --- |

a)

antaget med rimelig grund, at det er nødvendigt med henblik på de i artikel 6, stk. 2, litra b), omhandlede formål, og

| b) | godkendt af:






  i) | en judiciel myndighed, eller |
| --- | --- | --- |

b)

godkendt af:

i)

en judiciel myndighed, eller

| ii) | en anden national myndighed, der i henhold til national ret er kompetent til at kontrollere, om betingelserne for videregivelse er opfyldt, på betingelse af at passageroplysningsenhedens databeskyttelsesansvarlige underrettes, og at denne databeskyttelsesansvarlige foretager en efterfølgende kontrol. |
| --- | --- |

ii)

en anden national myndighed, der i henhold til national ret er kompetent til at kontrollere, om betingelserne for videregivelse er opfyldt, på betingelse af at passageroplysningsenhedens databeskyttelsesansvarlige underrettes, og at denne databeskyttelsesansvarlige foretager en efterfølgende kontrol.

4.   Medlemsstaterne sikrer, at PNR-oplysningerne slettes permanent efter udløbet af den i stk. 1 omhandlede periode. Denne forpligtelse berører ikke tilfælde, hvor der er videregivet konkrete PNR-oplysninger til en kompetent myndighed, og de anvendes i forbindelse med en konkret sag med henblik på at forebygge, opdage, efterforske eller retsforfølge terrorhandlinger eller grov kriminalitet, i hvilket tilfælde de kompetente myndigheders opbevaring af sådanne oplysninger reguleres af national ret.

5.   Passageroplysningsenheden opbevarer kun det i artikel 6, stk. 2, litra a), omhandlede resultat af behandlingen, så længe det er nødvendigt for at underrette de kompetente myndigheder og, jf. artikel 9, stk. 1, andre medlemsstaters passageroplysningsenheder om et hit. Hvis resultatet af automatisk behandling efter en individuel og manuel gennemgang, jf. artikel 6, stk. 5, har vist sig ikke at give noget hit, kan det dog lagres for at undgå fremtidige »falske« hit, så længe de bagvedliggende oplysninger ikke er slettet i medfør af denne artikels stk. 4.

Artikel 13

Beskyttelse af personoplysninger

1.   Hvad angår al behandling af personoplysninger i medfør af dette direktiv sørger hver medlemsstat for, at alle passagerer har den samme ret til beskyttelse af deres personoplysninger, ret til indsigt, berigtigelse, sletning og begrænsning samt ret til erstatning og klageadgang som fastsat i EU-retten og national ret samt i forbindelse med gennemførelsen af artikel 17, 18, 19 og 20 i rammeafgørelse 2008/977/RIA. De nævnte artikler finder derfor anvendelse.

2.   Hver medlemsstat sørger for, at de bestemmelser i national ret, der er vedtaget med henblik på gennemførelsen af artikel 21 og 22 i rammeafgørelse 2008/977/RIA, om fortrolighed i forbindelse med databehandling og datasikkerhed også finder anvendelse på al behandling af personoplysninger i medfør af dette direktiv.

3.   Dette direktiv berører ikke anvendelsen af Europa-Parlamentets og Rådets direktiv 95/46/EF (13) med hensyn til luftfartsselskabers behandling af personoplysninger, navnlig deres pligt til at træffe passende tekniske og organisatoriske foranstaltninger for at beskytte personoplysningers sikkerhed og fortrolighed.

4.   Medlemsstaterne forbyder behandling af PNR-oplysninger, der angiver en persons race eller etniske oprindelse, politiske anskuelser, religiøse eller filosofiske overbevisning, medlemskab af en fagforening, sundhed, seksualitet eller seksuelle orientering. Såfremt passageroplysningsenheden modtager PNR-oplysninger, der indeholder oplysninger herom, skal de straks slettes.

5.   Medlemsstaterne sikrer, at passageroplysningsenhederne opbevarer dokumentation vedrørende alle behandlingssystemer og -procedurer, der anvendes under deres ansvar. Denne dokumentation skal mindst omfatte:

| a) | navn og kontaktoplysninger på organisationen og personalet i den passageroplysningsenhed, som behandler PNR-oplysningerne, og de forskellige niveauer af adgangstilladelse |
| --- | --- |

a)

navn og kontaktoplysninger på organisationen og personalet i den passageroplysningsenhed, som behandler PNR-oplysningerne, og de forskellige niveauer af adgangstilladelse

| b) | anmodningerne indgivet af kompetente myndigheder og andre medlemsstaters passageroplysningsenheder |
| --- | --- |

b)

anmodningerne indgivet af kompetente myndigheder og andre medlemsstaters passageroplysningsenheder

| c) | alle anmodninger om og videregivelser af PNR-oplysninger til et tredjeland. |
| --- | --- |

c)

alle anmodninger om og videregivelser af PNR-oplysninger til et tredjeland.

Passageroplysningsenheden stiller efter anmodning al dokumentation til rådighed for den nationale tilsynsmyndighed.

6.   Medlemsstaterne sikrer, at passageroplysningsenheden som minimum registrerer følgende behandlingsaktiviteter: indsamling, søgning, videregivelse og sletning. Ved registrering af søgning og videregivelse skal navnlig formålet med samt datoen og tidspunktet for sådanne aktiviteter og i videst muligt omfang identiteten af den person, som har søgt eller videregivet PNR-oplysninger, samt identiteten af modtagerne af disse oplysninger, fremgå af registreringen. Registreringerne må udelukkende anvendes til kontrol og egenkontrol, til at sikre dataintegriteten og datasikkerheden samt til revision. Passageroplysningsenheden stiller efter anmodning registrene til rådighed for den nationale tilsynsmyndighed.

Disse registreringer opbevares i en periode på fem år.

7.   Medlemsstaterne sikrer, at deres passageroplysningsenhed gennemfører passende tekniske og organisatoriske foranstaltninger og procedurer for at sikre et højt sikkerhedsniveau i forhold til de risici, som behandlingen og arten af PNR-oplysningerne indebærer.

8.   Medlemsstaterne sikrer, at hvis et brud på persondatasikkerheden kan forventes at medføre en høj risiko, for så vidt angår beskyttelsen af personoplysninger, eller negativt påvirke privatlivets fred for den registrerede, underretter passageroplysningsenheden den registrerede og den nationale tilsynsmyndighed om dette brud uden unødigt ophold.

Artikel 14

Sanktioner

Medlemsstaterne fastsætter regler om sanktioner, der skal anvendes i tilfælde af overtrædelser af de nationale regler, der er vedtaget i medfør af dette direktiv, og træffer alle nødvendige foranstaltninger for at sikre, at de gennemføres.

Medlemsstaterne fastsætter navnlig regler om sanktioner, herunder bødestraf, over for luftfartsselskaber, som ikke videregiver oplysninger som omhandlet i artikel 8 eller ikke gør det i det krævede format.

Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning.

Artikel 15

National tilsynsmyndighed

1.   Hver medlemsstat sørger for, at den nationale tilsynsmyndighed, der er omhandlet i artikel 25 i rammeafgørelse 2008/977/RIA, gøres ansvarlig for at rådgive om og føre tilsyn med anvendelsen på dens område af de bestemmelser, som medlemsstaterne har vedtaget i medfør af dette direktiv. Artikel 25 i rammeafgørelse 2008/977/RIA finder anvendelse.

2.   Disse nationale tilsynsmyndigheder udfører deres aktiviteter, jf. stk. 1, med henblik på at beskytte grundlæggende rettigheder i forbindelse med behandlingen af personoplysninger.

3.   Hver national tilsynsmyndighed:

| a) | behandler klager, der indgives af registrerede, undersøger sagen og underretter de registrerede om forløbet og resultatet af deres klager inden for en rimelig frist |
| --- | --- |

a)

behandler klager, der indgives af registrerede, undersøger sagen og underretter de registrerede om forløbet og resultatet af deres klager inden for en rimelig frist

| b) | kontrollerer lovligheden af databehandlingen, gennemfører undersøgelser, inspektioner og revisioner i overensstemmelse med national ret enten af egen drift eller på grundlag af en i litra a) omhandlet klage. |
| --- | --- |

b)

kontrollerer lovligheden af databehandlingen, gennemfører undersøgelser, inspektioner og revisioner i overensstemmelse med national ret enten af egen drift eller på grundlag af en i litra a) omhandlet klage.

4.   Hver nationale tilsynsmyndighed rådgiver efter anmodning alle registrerede om udøvelsen af de rettigheder, som fastsættes i bestemmelser, der vedtages i medfør af dette direktiv.

KAPITEL III

Gennemførelsesforanstaltninger

Artikel 16

Fælles protokoller og understøttede dataformater

1.   Luftfartsselskabernes videregivelse af PNR-oplysninger til passageroplysningsenheder med henblik på dette direktiv skal foregå ved brug af elektroniske midler, som giver tilstrækkelige garantier med hensyn til de tekniske sikkerhedsforanstaltninger og organisatoriske foranstaltninger, der regulerer den behandling, der skal udføres. I tilfælde af et teknisk problem kan PNR-oplysninger videregives ved brug af et hvilket som helst andet hensigtsmæssigt middel, forudsat at det samme sikkerhedsniveau opretholdes og EU-retten vedrørende databeskyttelse fuldt ud overholdes.

2.   Fra ét år efter den dato, hvor Kommissionen første gang vedtager fælles protokoller og understøttede dataformater i overensstemmelse med stk. 3, skal al videregivelse af PNR-oplysninger fra luftfartsselskaberne til passageroplysningsenhederne med henblik på dette direktiv foregå elektronisk ved brug af sikre metoder, der er i overensstemmelse med disse fælles protokoller. Sådanne protokoller skal være fælles for alle videregivelser for at sikre sikkerheden for PNR-oplysningerne under videregivelsen. PNR-oplysningerne skal videregives i et understøttet dataformat for at sikre, at alle involverede parter kan læse dem. Alle luftfartsselskaber er forpligtede til at vælge og over for passageroplysningsenheden identificere den fælles protokol og det fælles dataformat, som de har til hensigt at anvende til deres videregivelser.

3.   Der udarbejdes en liste over fælles protokoller og understøttede dataformater, som om nødvendigt tilpasses af Kommissionen ved hjælp af gennemførelsesretsakter. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 17, stk. 2.

4.   Stk. 1 anvendes, så længe de fælles protokoller og understøttede dataformater, jf. stk. 2 og 3, ikke foreligger.

5.   Inden et år efter datoen for vedtagelsen af de i stk. 2 omhandlede fælles protokoller og understøttede dataformater sikrer hver medlemsstat, at de nødvendige tekniske foranstaltninger træffes, så disse fælles protokoller og dataformater kan anvendes.

Artikel 17

Udvalgsprocedure

1.   Kommissionen bistås af et udvalg. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.

2.   Når der henvises til dette stykke, finder artikel 5 i forordning (EU) nr. 182/2011 anvendelse.

Afgiver udvalget ikke nogen udtalelse, vedtager Kommissionen ikke udkastet til gennemførelsesretsakt, og artikel 5, stk. 4, tredje afsnit, i forordning (EU) nr. 182/2011 finder anvendelse.

KAPITEL IV

Afsluttende bestemmelser

Artikel 18

Gennemførelse

1.   Medlemsstaterne sætter de nødvendige love og administrative bestemmelser i kraft for at efterkomme dette direktiv senest den 25. maj 2018. De underretter straks Kommissionen herom.

Disse love og bestemmelser skal ved vedtagelsen indeholde en henvisning til dette direktiv eller skal ved offentliggørelsen ledsages af en sådan henvisning. Medlemsstaterne fastsætter de nærmere regler for henvisningen.

2.   Medlemsstaterne meddeler Kommissionen teksten til de vigtigste nationale retsforskrifter, som de udsteder på det område, der er omfattet af dette direktiv.

Artikel 19

Revision

1.   På grundlag af de oplysninger, som medlemsstaterne fremlægger, herunder de i artikel 20, stk. 2, omhandlede statistiske oplysninger, foretager Kommissionen senest den 25. maj 2020 en revision af alle elementerne af dette direktiv og forelægger og præsenterer en rapport for Europa-Parlamentet og for Rådet.

2.   I sin revision skal Kommissionen have særlig fokus på:

| a) | overholdelse af de gældende standarder for beskyttelse af personoplysninger |
| --- | --- |

a)

overholdelse af de gældende standarder for beskyttelse af personoplysninger

| b) | nødvendigheden og proportionaliteten af at indsamle og behandle PNR-oplysninger for hvert af de mål, der er fastsat i dette direktiv |
| --- | --- |

b)

nødvendigheden og proportionaliteten af at indsamle og behandle PNR-oplysninger for hvert af de mål, der er fastsat i dette direktiv

| c) | længden af dataopbevaringsperioden |
| --- | --- |

c)

længden af dataopbevaringsperioden

| d) | effektiviteten af udveksling af oplysninger mellem medlemsstaterne, og |
| --- | --- |

d)

effektiviteten af udveksling af oplysninger mellem medlemsstaterne, og

| e) | kvaliteten af vurderingerne, herunder med hensyn til de statistiske oplysninger, der indsamles i medfør af artikel 20. |
| --- | --- |

e)

kvaliteten af vurderingerne, herunder med hensyn til de statistiske oplysninger, der indsamles i medfør af artikel 20.

3.   Den i stk. 1 omhandlede rapport skal også indeholde en revision af nødvendigheden, proportionaliteten og effektiviteten af at inkludere den obligatoriske indsamling og videregivelse af PNR-oplysninger vedrørende alle eller udvalgte flyvninger inden for EU inden for dette direktivs anvendelsesområde. Kommissionen tager hensyn til erfaringerne i medlemsstaterne, særlig de medlemsstater, der anvender dette direktiv på flyvninger inden for EU i overensstemmelse med artikel 2. I rapporten behandles også nødvendigheden af at inkludere erhvervsdrivende, der ikke er luftfartsselskaber, f.eks. rejsebureauer og rejsearrangører, der leverer rejserelaterede tjenester, herunder reservation af flyvninger, inden for dette direktivs anvendelsesområde.

4.   I lyset af den revision, der er gennemført i medfør af denne artikel, forelægger Kommissionen, hvis det er relevant, Europa-Parlamentet og Rådet et forslag til en lovgivningsmæssig retsakt med henblik på ændring af dette direktiv.

Artikel 20

Statistiske oplysninger

1.   Medlemsstaterne forelægger årligt Kommissionen et sæt statistiske data om de PNR-oplysninger, der er sendt til passageroplysningsenhederne. Disse statistikker må ikke indeholde nogen personoplysninger.

2.   Statistikkerne skal som minimum indeholde:

| a) | det samlede antal passagerer, hvis PNR-oplysninger er blevet indsamlet og udvekslet |
| --- | --- |

a)

det samlede antal passagerer, hvis PNR-oplysninger er blevet indsamlet og udvekslet

| b) | antallet af passagerer, der er udpeget til yderligere undersøgelse. |
| --- | --- |

b)

antallet af passagerer, der er udpeget til yderligere undersøgelse.

Artikel 21

Forhold til andre instrumenter

1.   Medlemsstaterne kan fortsat anvende bilaterale og multilaterale aftaler eller indbyrdes ordninger om udveksling af oplysninger mellem kompetente myndigheder, der er gældende den 24. maj 2016, for så vidt disse aftaler eller ordninger er forenelige med direktivet.

2.   Dette direktiv berører ikke anvendelsen af direktiv 95/46/EF, for så vidt angår luftfartsselskabers behandling af personoplysninger.

3.   Dette direktiv berører ikke medlemsstaternes eller Unionens forpligtelser og tilsagn i henhold til bilaterale eller multilaterale aftaler med tredjelande.

Artikel 22

Ikrafttræden

Dette direktiv træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.

Den Europæiske Unions Tidende

Dette direktiv er rettet til medlemsstaterne i overensstemmelse med traktaterne.

Udfærdiget i Bruxelles, den 27. april 2016.

På Europa-Parlamentets vegne

M. SCHULZ

Formand

På Rådets vegne

J.A. HENNIS-PLASSCHAERT

Formand

---

(1)  
  EUT C 218 af 23.7.2011, s. 107.

1

(2)  Europa-Parlamentets holdning af 14.4.2016 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 21.4.2016.

2

(3)  
  EUT C 115 af 4.5.2010, s. 1.

3

(4)  Rådets direktiv 2004/82/EF af 29. april 2004 om transportvirksomheders forpligtelse til at fremsende oplysninger om passagerer (EUT L 261 af 6.8.2004, s. 24).

4

(5)  Rådets rammeafgørelse 2002/475/RIA af 13. juni 2002 om bekæmpelse af terrorisme (EFT L 164 af 22.6.2002, s. 3).

5

(6)  Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (EUT L 55 af 28.2.2011, s. 13).

6

(7)  Rådets afgørelse 2009/371/RIA af 6. april 2009 om oprettelse af Den Europæiske Politienhed (Europol) (EUT L 121 af 15.5.2009, s. 37).

7

(8)  Rådets rammeafgørelse 2006/960/RIA af 18. december 2006 om forenkling af udvekslingen af oplysninger og efterretninger mellem medlemsstaternes retshåndhævende myndigheder (EUT L 386 af 29.12.2006, s. 89).

8

(9)  Rådets rammeafgørelse 2008/977/RIA af 27. november 2008 om beskyttelse af personoplysninger i forbindelse med politisamarbejde og retligt samarbejde i kriminalsager (EUT L 350 af 30.12.2008, s. 60).

9

(10)  Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger (EFT L 8 af 12.1.2001, s. 1).

10

(11)  Europa-Parlamentets og Rådets direktiv 2004/38/EF af 29. april 2004 om unionsborgeres og deres familiemedlemmers ret til at færdes og opholde sig frit på medlemsstaternes område, om ændring af forordning (EØF) nr. 1612/68 og om ophævelse af direktiv 64/221/EØF, 68/360/EØF, 72/194/EØF, 73/148/EØF, 75/34/EØF, 75/35/EØF, 90/364/EØF, 90/365/EØF og 93/96/EØF (EUT L 158 af 30.4.2004, s. 77).

11

(12)  Europa-Parlamentets og Rådets forordning (EF) nr. 562/2006 af 15. marts 2006 om indførelse af en fællesskabskodeks for personers grænsepassage (Schengen-grænsekodeks) (EUT L 105 af 13.4.2006, s. 1).

12

(13)  Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281 af 23.11.1995, s. 31).

13

---

BILAG I

Passagerlisteoplysninger indsamlet af luftfartsselskaber

| 1. | PNR-nummer |
| --- | --- |

1.

PNR-nummer

| 2. | Dato for reservation/udstedelse af billet |
| --- | --- |

2.

Dato for reservation/udstedelse af billet

| 3. | Planlagt(e) rejsedato(er) |
| --- | --- |

3.

Planlagt(e) rejsedato(er)

| 4. | Navn(e) |
| --- | --- |

4.

Navn(e)

| 5. | Adresse og kontaktoplysninger (telefonnummer, e-mailadresse) |
| --- | --- |

5.

Adresse og kontaktoplysninger (telefonnummer, e-mailadresse)

| 6. | Alle former for oplysninger om betalingsformer, herunder faktureringsadresse |
| --- | --- |

6.

Alle former for oplysninger om betalingsformer, herunder faktureringsadresse

| 7. | Fuldstændig rejseplan for en konkret passagerliste |
| --- | --- |

7.

Fuldstændig rejseplan for en konkret passagerliste

| 8. | Oplysninger om bonusprogrammer |
| --- | --- |

8.

Oplysninger om bonusprogrammer

| 9. | Rejsebureau/rejseagent |
| --- | --- |

9.

Rejsebureau/rejseagent

| 10. | Rejsestatus for passagerer, herunder bekræftelser, indtjekningsstatus, oplysninger om »no-show« og »go-show« |
| --- | --- |

10.

Rejsestatus for passagerer, herunder bekræftelser, indtjekningsstatus, oplysninger om »no-show« og »go-show«

| 11. | Opsplittede/opdelte PNR-oplysninger |
| --- | --- |

11.

Opsplittede/opdelte PNR-oplysninger

| 12. | Generelle bemærkninger (herunder alle tilgængelige oplysninger om uledsagede mindreårige under 18 år, såsom den mindreåriges navn og køn, alder og talt(e) sprog, navnet på og kontaktoplysninger for den ansvarlige person ved afrejsen og dennes forhold til den mindreårige, navnet på og kontaktoplysninger for den ansvarlige person ved ankomsten og dennes forhold til barnet, lufthavnsmedarbejder ved afgang og ankomst) |
| --- | --- |

12.

Generelle bemærkninger (herunder alle tilgængelige oplysninger om uledsagede mindreårige under 18 år, såsom den mindreåriges navn og køn, alder og talt(e) sprog, navnet på og kontaktoplysninger for den ansvarlige person ved afrejsen og dennes forhold til den mindreårige, navnet på og kontaktoplysninger for den ansvarlige person ved ankomsten og dennes forhold til barnet, lufthavnsmedarbejder ved afgang og ankomst)

| 13. | Oplysninger i billetrubrikken, herunder billetnummer, dato for udstedelse af billetten og enkeltbilletter, automatisk billetprisangivelse (»automated ticket fare quote«) |
| --- | --- |

13.

Oplysninger i billetrubrikken, herunder billetnummer, dato for udstedelse af billetten og enkeltbilletter, automatisk billetprisangivelse (»automated ticket fare quote«)

| 14. | Pladsnummer og andre pladsoplysninger |
| --- | --- |

14.

Pladsnummer og andre pladsoplysninger

| 15. | Oplysninger om fælles rutenummer (»code sharing«) |
| --- | --- |

15.

Oplysninger om fælles rutenummer (»code sharing«)

| 16. | Alle bagageoplysninger |
| --- | --- |

16.

Alle bagageoplysninger

| 17. | Antal medrejsende og disses navne på passagerlisten |
| --- | --- |

17.

Antal medrejsende og disses navne på passagerlisten

| 18. | Eventuelt indsamlede forhåndsoplysninger om passagerer (API-oplysninger) (herunder typen, nummeret, udstedelseslandet og udløbsdatoen for ethvert identitetsdokument, nationalitet, efternavn, fornavn, køn, fødselsdato, luftfartsselskab, rutenummer, afgangsdato, ankomstdato, afgangslufthavn, ankomstlufthavn, afgangstidspunkt og ankomsttidspunkt) |
| --- | --- |

18.

Eventuelt indsamlede forhåndsoplysninger om passagerer (API-oplysninger) (herunder typen, nummeret, udstedelseslandet og udløbsdatoen for ethvert identitetsdokument, nationalitet, efternavn, fornavn, køn, fødselsdato, luftfartsselskab, rutenummer, afgangsdato, ankomstdato, afgangslufthavn, ankomstlufthavn, afgangstidspunkt og ankomsttidspunkt)

| 19. | Alle historiske ændringer af passagerlisten vedrørende punkt 1-18. |
| --- | --- |

19.

Alle historiske ændringer af passagerlisten vedrørende punkt 1-18.

---

BILAG II

Liste over overtrædelser, jf. artikel 3, nr. 9)

| 1. | Deltagelse i en kriminel organisation |
| --- | --- |

1.

Deltagelse i en kriminel organisation

| 2. | Menneskehandel |
| --- | --- |

2.

Menneskehandel

| 3. | Seksuel udnyttelse af børn og børnepornografi |
| --- | --- |

3.

Seksuel udnyttelse af børn og børnepornografi

| 4. | Ulovlig handel med narkotika og psykotrope stoffer |
| --- | --- |

4.

Ulovlig handel med narkotika og psykotrope stoffer

| 5. | Ulovlig handel med våben, ammunition og sprængstoffer |
| --- | --- |

5.

Ulovlig handel med våben, ammunition og sprængstoffer

| 6. | Bestikkelse |
| --- | --- |

6.

Bestikkelse

| 7. | Svig, herunder rettet mod Unionens finansielle interesser |
| --- | --- |

7.

Svig, herunder rettet mod Unionens finansielle interesser

| 8. | Hvidvaskning af udbyttet fra strafbart forhold og falskmøntneri, herunder forfalskning af euroen |
| --- | --- |

8.

Hvidvaskning af udbyttet fra strafbart forhold og falskmøntneri, herunder forfalskning af euroen

| 9. | IT-kriminalitet/cyberkriminalitet |
| --- | --- |

9.

IT-kriminalitet/cyberkriminalitet

| 10. | Miljøkriminalitet, herunder ulovlig handel med truede dyrearter og ulovlig handel med truede plantearter og træsorter |
| --- | --- |

10.

Miljøkriminalitet, herunder ulovlig handel med truede dyrearter og ulovlig handel med truede plantearter og træsorter

| 11. | Menneskesmugling |
| --- | --- |

11.

Menneskesmugling

| 12. | Forsætlig manddrab, grov legemsbeskadigelse |
| --- | --- |

12.

Forsætlig manddrab, grov legemsbeskadigelse

| 13. | Ulovlig handel med menneskeorganer og -væv |
| --- | --- |

13.

Ulovlig handel med menneskeorganer og -væv

| 14. | Bortførelse, frihedsberøvelse og gidseltagning |
| --- | --- |

14.

Bortførelse, frihedsberøvelse og gidseltagning

| 15. | Organiseret eller væbnet røveri |
| --- | --- |

15.

Organiseret eller væbnet røveri

| 16. | Ulovlig handel med kulturgoder, herunder antikviteter og kunstgenstande |
| --- | --- |

16.

Ulovlig handel med kulturgoder, herunder antikviteter og kunstgenstande

| 17. | Efterligninger og fremstilling af piratudgaver af produkter |
| --- | --- |

17.

Efterligninger og fremstilling af piratudgaver af produkter

| 18. | Forfalskning af officielle dokumenter og ulovlig handel med falske dokumenter |
| --- | --- |

18.

Forfalskning af officielle dokumenter og ulovlig handel med falske dokumenter

| 19. | Ulovlig handel med hormonpræparater og andre vækstfremmende stoffer |
| --- | --- |

19.

Ulovlig handel med hormonpræparater og andre vækstfremmende stoffer

| 20. | Ulovlig handel med nukleare eller radioaktive materialer |
| --- | --- |

20.

Ulovlig handel med nukleare eller radioaktive materialer

| 21. | Voldtægt |
| --- | --- |

21.

Voldtægt

| 22. | Strafbare handlinger omfattet af Den Internationale Straffedomstols straffemyndighed |
| --- | --- |

22.

Strafbare handlinger omfattet af Den Internationale Straffedomstols straffemyndighed

| 23. | Skibs- eller flykapring |
| --- | --- |

23.

Skibs- eller flykapring

| 24. | Sabotage |
| --- | --- |

24.

Sabotage

| 25. | Handel med stjålne motorkøretøjer |
| --- | --- |

25.

Handel med stjålne motorkøretøjer

| 26. | Industrispionage. |
| --- | --- |

26.

Industrispionage.

---